CVE-2026-5668
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W systemie Cyber-III Student-Management-System do wersji 1a938fa61e9f735078e9b291d2e6215b4942af3f występuje podatność typu cross-site scripting w pliku /admin/Add%20notice/add%20notice.php. Manipulacja argumentem $_SERVER['PHP_SELF'] prowadzi do wykonania kodu JavaScript. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub innych działań w kontekście użytkownika. Ponieważ exploit jest publicznie dostępny, ryzyko wykorzystania jest wysokie.
Rekomendacja
Zaktualizuj system do najnowszej wersji, jeśli jest dostępna. W przeciwnym razie wdróż walidację i kodowanie danych wejściowych oraz rozważ użycie WAF do blokowania prób XSS.
Inne podatności w Cyber-III Student-Management-System
Zobacz wszystkie- CVE-2026-5671Średnie
System zarządzania studentami Cyber-III zawiera podatność na atak XSS w pliku /admin/class%20schedule/delete_batch.php. Manipulacja argumentem batch prowadzi do odbicia skryptu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-5670Średnie
W systemie Cyber-III Student-Management-System funkcja move_uploaded_file w pliku /AssignmentSection/submission/upload.php pozwala na nieograniczone przesyłanie plików poprzez manipulację argumentem File. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Cyber-III Student-Management-System up to 1a938fa61e9f735078e9b291d2e6215b4942af3f. This affects an unknown part of the file /admin/Add%20notice/add%20notice.php. This manipulation of the argument $_SERVER['PHP_SELF'] causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been published and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS