CVE-2026-75458
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Interfejs nauczyciela POST /api/teacher/user/delete/{id} w XueZhiSi Open Source Exam System w wersji 3.9.0 i wcześniejszych zawiera podatność na pionową eskalację uprawnień. Interfejs przyjmuje identyfikator użytkownika i wykonuje sekwencję getUserById(id), setDeleted(true), updateByIdFilter() bez żadnej walidacji, czy bieżący użytkownik ma uprawnienia do usunięcia docelowego użytkownika. Uwierzytelniony nauczyciel (rola=2) może usunąć konto administratora (rola=3), co stanowi pionową eskalację uprawnień.
Ocena ryzyka
Nauczyciel może usunąć konta administratorów, co może prowadzić do utraty kontroli nad systemem, przerw w działaniu lub całkowitego przejęcia systemu.
Rekomendacja
Zaktualizuj system do wersji z poprawką lub dodaj walidację uprawnień przed wykonaniem operacji usuwania.
Inne podatności w XueZhiSi Open Source Exam System
Oryginalny opis (angielski, źródło NVD)
The teacher-end interface POST /api/teacher/user/delete/{id} in XueZhiSi Open Source Exam System <= 3.9.0 contains a vertical privilege escalatio vulnerability. This interface accepts a user ID and then executes getUserById(id), setDeleted(true), updateByIdFilter() in sequence, without any validation of whether the current user has the authority to delete the target user. An authenticated teacher user (role=2) can delete an administrator account (role=3), constituting a vertical privilege escalation where a lower-privileged user performs a high-privileged operation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS