CVE-2026-19786
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W systemie francoisjacquet RosarioSIS do wersji 12.8 stwierdzono podatność na Cross-Site Request Forgery (CSRF) w pliku Modules.php. Manipulacja prowadzi do CSRF. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 12.9 rozwiązuje problem.
Ocena ryzyka
Atakujący może wykorzystać CSRF do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora, co może prowadzić do modyfikacji konfiguracji, naruszenia danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj RosarioSIS do wersji 12.9 lub nowszej, która zawiera poprawkę. Dodatkowo edukuj administratorów, aby nie klikali w podejrzane linki.
Inne podatności w RosarioSIS
Zobacz wszystkie- CVE-2026-116217Średnie
RosarioSIS przed wersją 12.9.2 zawiera lukę reflected cross-site scripting w modules/Food_Service/MenuReports.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać atrybuty przez nieescapowane parametry menu_id i modname. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku Modules.php, w którym menu_id w cudzysłowie wstrzykuje obsługę onmouseover, kradnąc tokeny sesji i CSRF.
- CVE-2026-116010Średnie
RosarioSIS przed wersją 12.9.1 zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym nauczycielom zapisywać rekordy dla uczniów spoza ich okresu kursu poprzez podanie dowolnych identyfikatorów uczniów. Atakujący mogą modyfikować tablice POST st_arr, values lub attendance w plikach MakeReferral.php, EnterEligibility.php, InputFinalGrades.php i TakeAttendance.php, aby tworzyć skierowania, kody kwalifikowalności, frekwencję i oceny końcowe dla dowolnego ucznia w szkole.
- CVE-2026-93014Wysokie
RosarioSIS w wersjach przed 12.9 nie waliduje parametru żądania filename w modułach Users i Students, co pozwala uwierzytelnionym użytkownikom usuwać pliki z listy dozwolonych poprzez path traversal. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalogi przesyłania i usunąć zasoby CSS, XML, JSON oraz dokumenty innych użytkowników w całej instalacji.
- CVE-2026-19785Średnie
Znaleziono podatność w systemie RosarioSIS do wersji 12.7.4, w module medycznym uczniów. Manipulacja argumentem 'table' w pliku Medical.inc.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2026-19784Średnie
W systemie RosarioSIS do wersji 12.8 wykryto błąd w funkcji DBUpdate pliku Discipline/Referrals.php. Manipulacja powoduje obejście autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2021-45416Średnie
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in francoisjacquet RosarioSIS up to 12.8. This issue affects some unknown processing of the file Modules.php. Performing a manipulation results in cross-site request forgery. Remote exploitation of the attack is possible. Upgrading to version 12.9 is capable of addressing this issue. The patch is named 801a71272c82cf4bf695fdc5ed42a9b7511d124d. It is recommended to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS