CVE-2026-93014
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
RosarioSIS w wersjach przed 12.9 nie waliduje parametru żądania filename w modułach Users i Students, co pozwala uwierzytelnionym użytkownikom usuwać pliki z listy dozwolonych poprzez path traversal. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalogi przesyłania i usunąć zasoby CSS, XML, JSON oraz dokumenty innych użytkowników w całej instalacji.
Ocena ryzyka
Uwierzytelniony użytkownik może usunąć krytyczne pliki aplikacji i dane innych użytkowników, powodując przerwy w działaniu i utratę danych.
Rekomendacja
Zaktualizuj RosarioSIS do wersji 12.9 lub nowszej, która zawiera poprawkę walidacji parametru filename.
Inne podatności w RosarioSIS
Zobacz wszystkie- CVE-2026-116217Średnie
RosarioSIS przed wersją 12.9.2 zawiera lukę reflected cross-site scripting w modules/Food_Service/MenuReports.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać atrybuty przez nieescapowane parametry menu_id i modname. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku Modules.php, w którym menu_id w cudzysłowie wstrzykuje obsługę onmouseover, kradnąc tokeny sesji i CSRF.
- CVE-2026-116010Średnie
RosarioSIS przed wersją 12.9.1 zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym nauczycielom zapisywać rekordy dla uczniów spoza ich okresu kursu poprzez podanie dowolnych identyfikatorów uczniów. Atakujący mogą modyfikować tablice POST st_arr, values lub attendance w plikach MakeReferral.php, EnterEligibility.php, InputFinalGrades.php i TakeAttendance.php, aby tworzyć skierowania, kody kwalifikowalności, frekwencję i oceny końcowe dla dowolnego ucznia w szkole.
- CVE-2026-19786Średnie
W systemie francoisjacquet RosarioSIS do wersji 12.8 stwierdzono podatność na Cross-Site Request Forgery (CSRF) w pliku Modules.php. Manipulacja prowadzi do CSRF. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 12.9 rozwiązuje problem.
- CVE-2026-19785Średnie
Znaleziono podatność w systemie RosarioSIS do wersji 12.7.4, w module medycznym uczniów. Manipulacja argumentem 'table' w pliku Medical.inc.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2026-19784Średnie
W systemie RosarioSIS do wersji 12.8 wykryto błąd w funkcji DBUpdate pliku Discipline/Referrals.php. Manipulacja powoduje obejście autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2021-45416Średnie
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Oryginalny opis (angielski, źródło NVD)
RosarioSIS versions before 12.9 fail to validate the filename request parameter in Users and Students modules, allowing authenticated users to unlink allow-listed files via path traversal. Attackers can use parent-directory sequences to escape upload directories and delete CSS, XML, JSON resources and other users' documents throughout the installation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS