CVE-2026-121524
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W systemie School-Management-System (sumiie24) w pliku parent_Login.php w komponencie Public Search Feature wykryto podatność SQL injection poprzez manipulację argumentem email. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany. Produkt korzysta z modelu rolling release, więc informacje o wersjach nie są ujawniane, a dostawca nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć dowolne zapytania SQL, co może prowadzić do ujawnienia, modyfikacji lub usunięcia danych z bazy, a w skrajnych przypadkach do przejęcia kontroli nad aplikacją.
Rekomendacja
Jak najszybciej wdróż poprawki lub środki zaradcze (np. walidację danych wejściowych i parametryzację zapytań) oraz rozważ ograniczenie dostępu do aplikacji do czasu naprawy.
Inne podatności w School-Management-System
Zobacz wszystkie- CVE-2026-86268Wysokie
Podatność SQL injection w itsourcecode School Management System 1.0, dotycząca nieznanej funkcji w pliku User_Login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-47325Średnie
System zarządzania szkołą ProjectsAndPrograms school-management-system używa przewidywalnych haseł, generując hasła uczniów i nauczycieli wyłącznie na podstawie daty urodzenia (np. 12072000 dla 12 lipca 2000). Aplikacja nie wymaga ani nie zachęca do zmiany hasła przy pierwszym logowaniu. Umożliwia to atakującym łatwe odgadnięcie lub wyliczenie poprawnych danych logowania, prowadząc do nieautoryzowanego dostępu do kont.
- CVE-2026-47324Średnie
System zarządzania szkołą ProjectsAndPrograms jest podatny na trwałe ataki XSS w wielu atrybutach obiektów uczniów i nauczycieli. Uwierzytelniony atakujący (np. nauczyciel lub administrator) może wstrzyknąć złośliwy JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników. W połączeniu z CVE-2025-11661, umożliwiającym nieuwierzytelniony dostęp do endpointów backendu, podatność ta może być wykorzystana zdalnie bez uprawnień.
- CVE-2026-37750Średnie
W systemie School Management System autorstwa mahmoudai1 wykryto odbitą podatność Cross-Site Scripting (XSS). Niezautoryzowany atakujący zdalnie może wykonać dowolny kod JavaScript w przeglądarce ofiary poprzez niesanitowany parametr type w pliku register.php.
- CVE-2025-65136Średnie
W manikandan580 School-management-system 1.0 występuje podatność reflected XSS w pliku /studentms/admin/contact-us.php poprzez parametr POST pagedes. Podatność pozwala na odbicie złośliwego skryptu w odpowiedzi serwera.
- CVE-2025-65134Średnie
W manikandan580 School-management-system 1.0 występuje podatność reflected cross-site scripting (XSS) w /studentms/admin/contact-us.php poprzez parametr POST 'email'.
- CVE-2025-13795Niskie
Podatność XSS w School Management System (wersja rolling release) występuje w pliku /student-view.php w komponencie Edit Student Info Page. Manipulacja argumentem First Name powoduje XSS. Atak zdalny jest możliwy, exploit publiczny.
- CVE-2024-46334Średnie
System School Management System 1.0 jest podatny na Cross Site Scripting (XSS) poprzez parametry formuser i formpassword w pliku /adminLogin.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2025-11056Średnie
System School Management System 1.0 firmy ProjectsAndPrograms ma podatność SQL injection w pliku owner_panel/fetch-data/select-students.php. Manipulacja argumentem select umożliwia zdalny atak. Exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in sumiie24 School-Management-System up to d946d649c7c95e101fc5679ecd91999533bb10d7. Affected by this issue is some unknown functionality of the file parent_Login.php of the component Public Search Feature. Executing a manipulation of the argument email can lead to sql injection. The attack may be performed from remote. The exploit has been published and may be used. This product utilizes a rolling release system for continuous delivery, and as such, version information for affected or updated releases is not disclosed. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS