Plataforma
php
Componente
exam-form-submission
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en el componente Exam Form Submission, específicamente en la versión 1.0.0 a 1.0. Esta falla permite a un atacante inyectar scripts maliciosos a través de la manipulación del parámetro 'sname' en el archivo /admin/update_s6.php. La explotación es posible de forma remota y ya ha sido divulgada públicamente, lo que aumenta el riesgo de ataques.
La vulnerabilidad XSS en Exam Form Submission permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite una página comprometida. Esto puede resultar en el robo de cookies de sesión, permitiendo al atacante hacerse pasar por el usuario. Además, el atacante podría redirigir al usuario a sitios web maliciosos, mostrar contenido falso o realizar otras acciones en nombre del usuario. Dada la naturaleza de la aplicación (examen), el impacto podría ser significativo, incluyendo la manipulación de resultados o el robo de información confidencial de los estudiantes. La divulgación pública de la vulnerabilidad facilita su explotación y aumenta el riesgo de ataques dirigidos.
La vulnerabilidad CVE-2026-4595 ha sido divulgada públicamente, lo que significa que existen pruebas de concepto disponibles y es probable que los atacantes estén buscando activamente explotarla. La severidad se evalúa como baja (CVSS 2.4), pero el impacto potencial en la confidencialidad y la integridad de los datos justifica una atención inmediata. No se ha confirmado explotación activa en campañas conocidas, pero la divulgación pública aumenta significativamente el riesgo.
Administrators of Exam Form Submission 1.0 installations are at immediate risk. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as an attacker could potentially compromise other users' accounts through this XSS vulnerability. Users relying on Exam Form Submission for sensitive data collection or exam administration should prioritize mitigation.
• php / server:
grep -r 'sname' /admin/update_s6.php | grep -i '<script'• generic web:
curl -I http://your-exam-form-submission-url.com/admin/update_s6.php?sname=<script>alert(1)</script>• generic web: Examine access logs for requests to /admin/update_s6.php containing suspicious characters in the 'sname' parameter (e.g., <script>, <!--, javascript:).
disclosure
Estado del Exploit
EPSS
0.03% (9% percentil)
CISA SSVC
Vector CVSS
La mitigación inmediata implica la validación y el saneamiento riguroso de todos los datos de entrada, especialmente el parámetro 'sname' en el archivo /admin/update_s6.php. Implementar una política de seguridad de contenido (CSP) puede ayudar a reducir el impacto de los ataques XSS al restringir las fuentes de contenido que el navegador puede cargar. Si existe una versión corregida de Exam Form Submission, actualizar a esa versión es la solución más efectiva. En ausencia de una actualización, se recomienda implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes con patrones sospechosos de inyección de XSS.
Actualice el plugin Exam Form Submission a la última versión disponible para mitigar la vulnerabilidad de XSS. Verifique las fuentes oficiales del plugin para obtener instrucciones de actualización y parches de seguridad. Implemente medidas de validación y escape de entrada para prevenir futuros ataques XSS.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-4595 is a cross-site scripting vulnerability in Exam Form Submission version 1.0, affecting the /admin/update_s6.php file. It allows attackers to inject malicious scripts via the 'sname' parameter.
If you are using Exam Form Submission version 1.0, you are potentially affected. Upgrade to a patched version as soon as possible.
Upgrade to a patched version of Exam Form Submission. If upgrading is not immediately possible, implement strict input validation and sanitization on the 'sname' parameter and consider using a WAF.
Due to the public disclosure of the exploit, it is likely that CVE-2026-4595 is being actively exploited or targeted by automated scanning tools.
Refer to the code-projects website or relevant security mailing lists for the official advisory regarding CVE-2026-4595.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.