CVE-2025-10072

Portabilis i-Educar w wersji 2.10.0 ma podatność typu Cross-Site Scripting (XSS) polegającą na niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to przechowywany atak XSS poprzez parametr matricula_interna w punkcie końcowym educar_usuario_cad.php.

W i-Educar w wersjach 2.10.0 i wcześniejszych występuje uwierzytelniona czasowa iniekcja SQL w skrypcie ieducar/intranet/agenda_admin_cad.php. Atakujący z dostępem do uwierzytelnionej sesji może wykonywać dowolne polecenia SQL przeciwko bazie danych aplikacji. Przyczyną jest nieprawidłowa obsługa parametru GET cod_agenda, który jest bezpośrednio konkatenowany do zapytania SQL bez właściwej sanityzacji. Podatność naprawiono w commicie 3e9763a.

W i-Educar w wersjach 2.10.0 i wcześniejszych występuje uwierzytelniona czasowa iniekcja SQL w skrypcie ieducar/intranet/funcionario_vinculo_cad.php. Atakujący z dostępem do uwierzytelnionej sesji może wykonywać dowolne polecenia SQL przeciwko bazie danych aplikacji. Przyczyną jest nieprawidłowa obsługa parametru GET cod_funcionario_vinculo, który jest bezpośrednio konkatenowany do zapytania SQL bez właściwej sanityzacji. Podatność naprawiono w commicie a00dfa3.

i-Educar w wersjach 2.10.0 i wcześniejszych ma uwierzytelnioną podatność na SQL injection opartą na czasie w skrypcie ieducar/intranet/agenda.php. Atakujący z dostępem do uwierzytelnionej sesji może wykonywać dowolne polecenia SQL przeciwko bazie danych aplikacji z powodu niewłaściwego obsługi parametru cod_agenda. Problem został naprawiony w commicie b473f92.

W systemie Portabilis i-Educar do wersji 2.10 odkryto podatność na iniekcję SQL w pliku /module/Cadastro/aluno. Manipulacja argumentem is prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został ujawniony.

W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/agenda_preferencias.php. Manipulacja argumentem cod_agenda prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.12 usuwa tę lukę.

W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/agenda.php. Manipulacja argumentem cod_agenda prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.12 usuwa tę lukę.

W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/educar_tipo_usuario_lst.php. Manipulacja argumentami nm_tipo/descrição prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 usuwa tę lukę.

W Portabilis i-Educar 2.10 zidentyfikowano słabość w pliku /intranet/public_distrito_cad.php. Manipulacja argumentem nome powoduje cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony. Aktualizacja do wersji 2.12 łagodzi ten problem. Producent wyjaśnia, że po przetestowaniu na poprawionej wersji opisane zachowanie XSS nie mogło zostać odtworzone.

W Portábilis i-Educar do wersji 2.7.5 wykryto podatność na cross-site scripting w pliku \intranet\agenda_imprimir.php. Manipulacja argumentem cod_agenda z wejściem ");'> <script>alert(document.cookie)</script> powoduje XSS. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Producent wyjaśnia, że ten punkt końcowy i powiązana funkcjonalność nie są już obecne w aktualnym kodzie i zostały usunięte.