ZeroWdd studentmanager PermissionController.java submitAddPermission cross site scripting

Un atacante puede explotar esta vulnerabilidad para ejecutar código JavaScript arbitrario en el navegador de un usuario que visite una página comprometida. Esto podría permitir el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. El impacto potencial es significativo, ya que un atacante podría obtener acceso no autorizado a información sensible o realizar acciones en nombre del usuario afectado. La manipulación del argumento 'url' es el vector de ataque principal, y la naturaleza remota de la explotación amplía el alcance del riesgo.

Educational institutions and organizations utilizing ZeroWdd studentmanager for student data management are at risk. Specifically, deployments with older, unpatched versions (1.0–1.0) are vulnerable. Shared hosting environments where multiple applications share the same server resources could also be affected, as a compromise of one application could potentially lead to the exploitation of this vulnerability in others.

• java / server:

find /path/to/studentmanager/src/main/java/com/zero/system/controller/ -name "PermissionController.java"

• generic web:

curl -s -X POST 'http://your-studentmanager-url/submitAddPermission?url=<script>alert(1)</script>' | grep -i alert

1. 2025-01-05Disclosure

   disclosure

1. Reservado2025-01-05
2. Publicada2025-01-05
3. Modificada2025-01-06
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar a la versión 1.0.1 de studentmanager, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario, especialmente aquellas relacionadas con URLs. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos de inyección de scripts. Verifique después de la actualización que la función submitAddPermission no sea vulnerable a inyecciones XSS.