CVE-2026-5643
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W aplikacji Cyber-III Student-Management-System wykryto podatność typu cross-site scripting w pliku /admin/Add%20notice/notice.php, wynikającą z niewłaściwego przetwarzania parametru $_SERVER['PHP_SELF']. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Osoba atakująca może wykonać złośliwy skrypt w przeglądarce administratora, przechwycić sesję lub wykonać działania w jego imieniu. Ponieważ exploit jest publiczny, ryzyko wykorzystania jest wysokie.
Rekomendacja
Wprowadź walidację i kodowanie danych wejściowych dla parametru $_SERVER['PHP_SELF'] oraz wdróż nagłówki Content-Security-Policy. Do czasu wydania poprawki rozważ ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Cyber-III Student-Management-System
Zobacz wszystkie- CVE-2026-5671Średnie
System zarządzania studentami Cyber-III zawiera podatność na atak XSS w pliku /admin/class%20schedule/delete_batch.php. Manipulacja argumentem batch prowadzi do odbicia skryptu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-5670Średnie
W systemie Cyber-III Student-Management-System funkcja move_uploaded_file w pliku /AssignmentSection/submission/upload.php pozwala na nieograniczone przesyłanie plików poprzez manipulację argumentem File. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-5668Niskie
W systemie Cyber-III Student-Management-System do wersji 1a938fa61e9f735078e9b291d2e6215b4942af3f występuje podatność typu cross-site scripting w pliku /admin/Add%20notice/add%20notice.php. Manipulacja argumentem $_SERVER['PHP_SELF'] prowadzi do wykonania kodu JavaScript. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Cyber-III Student-Management-System up to 1a938fa61e9f735078e9b291d2e6215b4942af3f. This impacts an unknown function of the file /admin/Add%20notice/notice.php of the component Admin Add Endpoint. Such manipulation of the argument $_SERVER['PHP_SELF'] leads to cross site scripting. It is possible to launch the attack remotely. The exploit is publicly available and might be used. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS