Plataforma
php
Componente
student-management-system
Corrigido em
1.0.1
Uma vulnerabilidade de Cross-Site Scripting (XSS) foi descoberta no Cyber-III Student-Management-System, afetando versões até 1a938fa61e9f735078e9b291d2e6215b4942af3f. A falha reside na manipulação do argumento $SERVER['PHPSELF'] no arquivo /admin/Add%20notice/add%20notice.php, permitindo a injeção de scripts maliciosos. O sistema utiliza um modelo de entrega contínua, o que dificulta a identificação de versões específicas afetadas ou corrigidas.
Um atacante pode explorar essa vulnerabilidade para injetar scripts maliciosos em páginas web visualizadas por outros usuários do Cyber-III Student-Management-System. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou a modificação do conteúdo da página, comprometendo a integridade do sistema e a confidencialidade dos dados dos usuários. A exploração remota é possível, ampliando o potencial de impacto. A publicação do exploit aumenta significativamente o risco de ataques direcionados.
O exploit para essa vulnerabilidade foi publicado, indicando um risco elevado de exploração. A ausência de uma versão corrigida específica, combinada com a publicação do exploit, sugere que a vulnerabilidade pode ser explorada ativamente. A falta de detalhes sobre o processo de correção no sistema de entrega contínua dificulta a avaliação completa do risco. A vulnerabilidade foi reportada ao projeto, mas a ausência de uma correção imediata exige medidas de mitigação proativas.
Organizations utilizing Cyber-III Student-Management-System, particularly those with publicly accessible administrative interfaces, are at risk. Shared hosting environments where multiple users share the same server instance are especially vulnerable, as an attacker could potentially exploit the vulnerability through another user's account.
• generic web: Use curl to test the /admin/Add%20notice/add%20notice.php endpoint with various payloads containing <script> tags. Examine the response for signs of script execution.
curl -X POST -d '<script>alert("XSS")</script>' http://your-target/admin/Add%20notice/add%20notice.php• generic web: Review access and error logs for unusual patterns or requests containing suspicious characters or script tags.
• php: Examine the source code of /admin/Add%20notice/add%20notice.php for inadequate input sanitization of the $SERVER['PHPSELF'] variable.
disclosure
poc
Status do Exploit
EPSS
0.03% (percentil 9%)
CISA SSVC
Vetor CVSS
Devido ao modelo de entrega contínua e à ausência de versões específicas corrigidas, a mitigação imediata deve focar em medidas de proteção. Implementar um Web Application Firewall (WAF) ou proxy reverso com regras para filtrar entradas suspeitas no argumento $SERVER['PHPSELF'] é crucial. Além disso, realizar uma auditoria de código para identificar e corrigir outras possíveis vulnerabilidades de XSS é recomendado. Monitorar logs de acesso e erro em busca de padrões de ataque também pode ajudar a detectar e responder a tentativas de exploração. A aplicação de políticas de segurança de conteúdo (CSP) pode reduzir o impacto de ataques XSS bem-sucedidos.
Atualizar o Student-Management-System para uma versão corrigida. Devido ao fato de o projeto usar um modelo de lançamento contínuo e não fornecer detalhes de versões específicas, entrar em contato com o fornecedor para obter informações sobre as versões atualizadas e aplicar as atualizações necessárias.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-5668 is a cross-site scripting (XSS) vulnerability in Cyber-III Student-Management-System versions up to 1a938fa61e9f735078e9b291d2e6215b4942af3f, allowing attackers to inject malicious scripts.
If you are using Cyber-III Student-Management-System version 1a938fa61e9f735078e9b291d2e6215b4942af3f or earlier, you are potentially affected by this vulnerability.
Due to the rolling release model, a direct upgrade may not be immediately available. Implement WAF rules, input validation, and consider CSP as mitigations.
A public proof-of-concept exists, suggesting a higher likelihood of active exploitation. Monitor for suspicious activity and apply mitigations promptly.
Refer to the project's official communication channels and issue tracker for updates regarding this vulnerability.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.