CVE-2025-9721
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Portabilis i-Educar do wersji 2.10 występuje podatność cross-site scripting (XSS) w pliku /module/FormulaMedia/edit. Manipulacja argumentami nome/formulaMedia umożliwia wstrzyknięcie złośliwego skryptu. Exploit został opublikowany i może być wykorzystany zdalnie.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod JavaScript w przeglądarce ofiary, co może skutkować przejęciem sesji lub kradzieżą danych. Publiczny exploit zwiększa prawdopodobieństwo ataku.
Rekomendacja
Zaktualizuj oprogramowanie do wersji zawierającej poprawkę lub wdroż walidację i sanityzację danych wejściowych dla parametrów nome i formulaMedia. Zaleca się również wdrożenie nagłówków CSP.
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2026-2015Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2025-11554Średnie
W Portabilis i-Educar do wersji 2.9.10 wykryto podatność w nieznanej funkcjonalności pliku app/Http/Controllers/AccessLevelController.php w komponencie User Type Handler. Manipulacja prowadzi do niebezpiecznych odziedziczonych uprawnień. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2025-11050Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto lukę w pliku /periodo-lancamento. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11049Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /unificacao-aluno. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11048Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /consulta-dispensas. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11047Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto słabość w pliku /module/Api/aluno. Manipulacja argumentem aluno_id prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-10846Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanego kodu w pliku /module/ComponenteCurricular/edit. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-10845Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej części pliku /module/ComponenteCurricular/view. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być użyty.
- CVE-2025-10608Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Nieznana funkcja w pliku /enrollment-history/ ma nieprawidłowe kontrole dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-10605Średnie
W Portabilis i-Educar do wersji 2.10 wykryto lukę bezpieczeństwa w pliku /agenda_preferencias.php. Manipulacja argumentem tipoacao prowadzi do cross-site scripting (XSS), a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Portabilis i-Educar up to 2.10. The affected element is an unknown function of the file /module/FormulaMedia/edit. This manipulation of the argument nome/formulaMedia causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS