CVE-2026-82621
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Zidentyfikowano słabość w Soarkey StudentManagement i 学生信息管理系统 do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e. Dotyczy ona funkcji AdminDao.doGet w pliku code/src/service/AdminDao.java komponentu Administrative Servlet. Wykonanie manipulacji argumentem action może prowadzić do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być użyty do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Ocena ryzyka
Obejście autoryzacji może pozwolić nieautoryzowanym użytkownikom na dostęp do funkcji administracyjnych, co może prowadzić do naruszenia danych i integralności systemu.
Rekomendacja
Zaleca się monitorowanie poprawek od producenta i zastosowanie ich, gdy tylko będą dostępne, oraz ograniczenie dostępu do serwletu administracyjnego.
Inne podatności w Soarkey StudentManagement
Zobacz wszystkie- CVE-2026-90787Wysokie
W Soarkey StudentManagement do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e wykryto podatność. Dotyczy funkcji RegisterServlet.doPost w pliku code/WebContent/register.html w komponencie Registration Workflow. Manipulacja argumentem level prowadzi do niewłaściwego zarządzania uprawnieniami. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystywany. Produkt nie używa wersjonowania, dlatego informacje o podatnych i niepodatnych wersjach są niedostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-82620Średnie
Wykryto podatność w Soarkey StudentManagement i 学生信息管理系统 do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e. Funkcja CourseDao.course_ranking w pliku CourseDao.java jest podatna na wstrzyknięcie SQL przez argument cno. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Soarkey StudentManagement and 学生信息管理系统 up to e08f7f1d5015af407aa4cca0ada3dea189b4937e. This impacts the function AdminDao.doGet of the file code/src/service/AdminDao.java of the component Administrative Servlet. Executing a manipulation of the argument action can lead to authorization bypass. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.