CVE-2026-82553
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wykryto podatność w sambitraj Student Management System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5. Podatność dotyczy funkcji mysqli_query w pliku student_dashboard.php komponentu Student Dashboard. Manipulacja argumentem roll_no prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do danych studentów i naruszenia poufności informacji.
Rekomendacja
Ponieważ projekt nie wydał jeszcze poprawki, rozważ tymczasowe ograniczenie dostępu do student_dashboard.php i monitorowanie logów pod kątem podejrzanych działań.
Inne podatności w Student Management System
Zobacz wszystkie- CVE-2026-97650Średnie
Podatność cross-site scripting (XSS) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Funkcja echo w pliku admin/fun/addLog.php nie neutralizuje argumentów reason/detail, co pozwala na wstrzyknięcie skryptu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97649Średnie
Podatność w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcjonalności pliku example_lite.sql. Manipulacja może prowadzić do użycia domyślnych poświadczeń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97648Średnie
Podatność cross-site request forgery (CSRF) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97647Średnie
Podatność polegająca na obejściu autoryzacji w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Manipulacja argumentami sid/addtime/type/reason/detail/logdate w pliku user/editLog.php prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-97646Wysokie
W systemie ningzichun student-management-system do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf wykryto słabość w nieznanej funkcji pliku admin/fun/getStudent.php. Manipulacja argumentem sid powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86674Średnie
Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy funkcji session_start w pliku login.php. Manipulacja prowadzi do fiksacji sesji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt nie używa wersjonowania, więc brak informacji o wersjach dotkniętych i poprawionych.
- CVE-2026-86673Wysokie
W systemie zarządzania studentami ningzichun (do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf) wykryto podatność w funkcji mysqli_connect pliku config/database.php komponentu Database Connection. Manipulacja powoduje użycie twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Produkt używa modelu ciągłych aktualizacji, więc brak konkretnych informacji o wersjach. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86672Średnie
Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy nieznanej funkcji w pliku example.7z komponentu Backup Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt używa ciągłego dostarczania z wydaniami kroczącymi, więc brak szczegółów wersji.
- CVE-2026-82699Niskie
W systemie sambitraj Student Management System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto wadę w komponencie Password Handler w pliku aca.sql. Manipulacja argumentem Password prowadzi do przechowywania danych wrażliwych w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie.
- CVE-2026-82698Średnie
W systemie Student-Management-System od sambitraj (do wersji 56ba287f) wykryto użycie domyślnego hasła w pliku aca.sql. Atak zdalny jest możliwy, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in sambitraj Student Management System up to 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5. Affected by this issue is the function mysqli_query of the file student_dashboard.php of the component Student Dashboard. The manipulation of the argument roll_no results in improper authorization. The attack may be performed from remote. The exploit is now public and may be used. This product utilizes a rolling release system for continuous delivery, and as such, version information for affected or updated releases is not disclosed. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS