Platform
php
Component
student-management-system
Opgelost in
1.0.1
CVE-2026-5668 describes a cross-site scripting (XSS) vulnerability discovered in Cyber-III Student-Management-System. This flaw allows attackers to inject malicious scripts via manipulation of the $SERVER['PHPSELF'] argument within the /admin/Add%20notice/add%20notice.php file. The vulnerability affects versions up to 1a938fa61e9f735078e9b291d2e6215b4942af3f, and exploitation is possible remotely. Due to the rolling release model, specific version details are unavailable.
Een succesvolle exploitatie van deze XSS-kwetsbaarheid stelt een aanvaller in staat om kwaadaardige JavaScript-code uit te voeren in de browser van een slachtoffer. Dit kan leiden tot het stelen van sessiecookies, het omleiden van gebruikers naar kwaadaardige websites, of het wijzigen van de inhoud van de webpagina. De impact kan variëren afhankelijk van de privileges van de gebruiker en de context waarin de kwetsbaarheid wordt misbruikt. Aangezien de exploitatie op afstand mogelijk is, kan de aanval vanuit elke locatie worden gelanceerd, wat de potentiële impact aanzienlijk vergroot.
De exploit voor deze kwetsbaarheid is openbaar gepubliceerd, wat het risico op misbruik verhoogt. Er is geen informatie beschikbaar over actieve campagnes die deze specifieke kwetsbaarheid misbruiken, maar de publicatie van de exploit maakt het een aantrekkelijk doelwit voor aanvallers. De kwetsbaarheid is opgenomen in het NVD-register en mogelijk ook in CISA KEV, hoewel de exacte datum nog niet bekend is.
Organizations utilizing Cyber-III Student-Management-System, particularly those with publicly accessible administrative interfaces, are at risk. Shared hosting environments where multiple users share the same server instance are especially vulnerable, as an attacker could potentially exploit the vulnerability through another user's account.
• generic web: Use curl to test the /admin/Add%20notice/add%20notice.php endpoint with various payloads containing <script> tags. Examine the response for signs of script execution.
curl -X POST -d '<script>alert("XSS")</script>' http://your-target/admin/Add%20notice/add%20notice.php• generic web: Review access and error logs for unusual patterns or requests containing suspicious characters or script tags.
• php: Examine the source code of /admin/Add%20notice/add%20notice.php for inadequate input sanitization of the $SERVER['PHPSELF'] variable.
disclosure
poc
Exploit Status
EPSS
0.03% (9% percentiel)
CISA SSVC
CVSS-vector
Omdat Cyber-III Student-Management-System een rolling release model gebruikt, is een directe upgrade naar een specifieke 'fixed' versie niet mogelijk. De aanbevolen mitigatie is om de applicatie te updaten naar de meest recente versie die beschikbaar is via de rolling release. Daarnaast kan het implementeren van een Web Application Firewall (WAF) met regels die XSS-aanvallen detecteren en blokkeren, helpen om de risico's te verminderen. Controleer ook de inputvalidatie en output encoding in de applicatie om verdere XSS-kwetsbaarheden te voorkomen. Na de update, controleer de functionaliteit van de /admin/Add%20notice/add%20notice.php pagina om te bevestigen dat de kwetsbaarheid is verholpen.
Actualizar el Student-Management-System a una versión corregida. Debido a que el proyecto utiliza un modelo de lanzamiento continuo y no proporciona detalles de versiones específicas, contactar al proveedor para obtener información sobre las versiones actualizadas y aplicar las actualizaciones necesarias.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-5668 is a cross-site scripting (XSS) vulnerability in Cyber-III Student-Management-System versions up to 1a938fa61e9f735078e9b291d2e6215b4942af3f, allowing attackers to inject malicious scripts.
If you are using Cyber-III Student-Management-System version 1a938fa61e9f735078e9b291d2e6215b4942af3f or earlier, you are potentially affected by this vulnerability.
Due to the rolling release model, a direct upgrade may not be immediately available. Implement WAF rules, input validation, and consider CSP as mitigations.
A public proof-of-concept exists, suggesting a higher likelihood of active exploitation. Monitor for suspicious activity and apply mitigations promptly.
Refer to the project's official communication channels and issue tracker for updates regarding this vulnerability.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.