CVE-2026-86672
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy nieznanej funkcji w pliku example.7z komponentu Backup Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt używa ciągłego dostarczania z wydaniami kroczącymi, więc brak szczegółów wersji.
Ocena ryzyka
Ryzyko ujawnienia wrażliwych danych, które mogą być wykorzystane do dalszych ataków lub naruszenia prywatności.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do plików kopii zapasowych oraz monitorowanie odpowiedzi projektu na zgłoszenie problemu. Należy rozważyć wdrożenie dodatkowych zabezpieczeń.
Inne podatności w Student Management System
Zobacz wszystkie- CVE-2026-97650Średnie
Podatność cross-site scripting (XSS) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Funkcja echo w pliku admin/fun/addLog.php nie neutralizuje argumentów reason/detail, co pozwala na wstrzyknięcie skryptu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97649Średnie
Podatność w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcjonalności pliku example_lite.sql. Manipulacja może prowadzić do użycia domyślnych poświadczeń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97648Średnie
Podatność cross-site request forgery (CSRF) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97647Średnie
Podatność polegająca na obejściu autoryzacji w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Manipulacja argumentami sid/addtime/type/reason/detail/logdate w pliku user/editLog.php prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97646Wysokie
W systemie ningzichun student-management-system do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf wykryto słabość w nieznanej funkcji pliku admin/fun/getStudent.php. Manipulacja argumentem sid powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86674Średnie
Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy funkcji session_start w pliku login.php. Manipulacja prowadzi do fiksacji sesji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt nie używa wersjonowania, więc brak informacji o wersjach dotkniętych i poprawionych.
- CVE-2026-86673Wysokie
W systemie zarządzania studentami ningzichun (do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf) wykryto podatność w funkcji mysqli_connect pliku config/database.php komponentu Database Connection. Manipulacja powoduje użycie twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Produkt używa modelu ciągłych aktualizacji, więc brak konkretnych informacji o wersjach. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-82699Niskie
W systemie sambitraj Student Management System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto wadę w komponencie Password Handler w pliku aca.sql. Manipulacja argumentem Password prowadzi do przechowywania danych wrażliwych w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie.
- CVE-2026-82698Średnie
W systemie Student-Management-System od sambitraj (do wersji 56ba287f) wykryto użycie domyślnego hasła w pliku aca.sql. Atak zdalny jest możliwy, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-82697Niskie
W systemie sambitraj Student-Management-System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto podatność w funkcji session_start, która prowadzi do tworzenia ciasteczek bez flagi 'httponly'. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in ningzichun Student Management System up to 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Affected is an unknown function of the file example.7z of the component Backup Handler. The manipulation leads to information disclosure. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS