Podatności Skuul School Management System

Skuul School Management System do wersji 2.6.5 jest podatny na nieprawidłową kontrolę dostępu w metodzie ResultChecker::checkResult. Uwierzytelniony uczeń może manipulować parametrem studentId, aby bez autoryzacji pobrać wyniki egzaminów innego ucznia, w tym oceny.

W produkcie yungifez Skuul School Management System do wersji 2.6.5 wykryto podatność na ujawnienie informacji w nieznanym przetwarzaniu pliku /user/profile komponentu Image Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność XSS w Skuul School Management System do wersji 2.6.5, występująca w komponencie SVG File Handler w pliku /dashboard/schools/1/edit. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Skuul School Management System do wersji 2.6.5 wykryto lukę w zabezpieczeniach w pliku /dashboard/fees/fee-invoices/ w komponencie View Fee Invoice. Manipulacja argumentem invoice_id prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Możliwe jest zdalne wykorzystanie podatności, ale atak jest uważany za trudny i o wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany.