Podatności Student-Management-System

Podatność cross-site scripting (XSS) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Funkcja echo w pliku admin/fun/addLog.php nie neutralizuje argumentów reason/detail, co pozwala na wstrzyknięcie skryptu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Podatność w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcjonalności pliku example_lite.sql. Manipulacja może prowadzić do użycia domyślnych poświadczeń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność cross-site request forgery (CSRF) w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf dotyczy nieznanej funkcji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność polegająca na obejściu autoryzacji w systemie student-management-system (ningzichun) do commita 98760f5711cf6dc8b4adca53a9e207ca49b02ebf. Manipulacja argumentami sid/addtime/type/reason/detail/logdate w pliku user/editLog.php prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W systemie ningzichun student-management-system do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf wykryto słabość w nieznanej funkcji pliku admin/fun/getStudent.php. Manipulacja argumentem sid powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach; projekt został poinformowany o problemie, ale nie odpowiedział.

Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy funkcji session_start w pliku login.php. Manipulacja prowadzi do fiksacji sesji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt nie używa wersjonowania, więc brak informacji o wersjach dotkniętych i poprawionych.

W systemie zarządzania studentami ningzichun (do wersji 98760f5711cf6dc8b4adca53a9e207ca49b02ebf) wykryto podatność w funkcji mysqli_connect pliku config/database.php komponentu Database Connection. Manipulacja powoduje użycie twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Produkt używa modelu ciągłych aktualizacji, więc brak konkretnych informacji o wersjach. Projekt został poinformowany o problemie, ale nie odpowiedział.

Podatność w ningzichun Student Management System (do konkretnego commitu) dotyczy nieznanej funkcji w pliku example.7z komponentu Backup Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Produkt używa ciągłego dostarczania z wydaniami kroczącymi, więc brak szczegółów wersji.

W systemie sambitraj Student Management System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto wadę w komponencie Password Handler w pliku aca.sql. Manipulacja argumentem Password prowadzi do przechowywania danych wrażliwych w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie.

W systemie Student-Management-System od sambitraj (do wersji 56ba287f) wykryto użycie domyślnego hasła w pliku aca.sql. Atak zdalny jest możliwy, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

W systemie sambitraj Student-Management-System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5 wykryto podatność w funkcji session_start, która prowadzi do tworzenia ciasteczek bez flagi 'httponly'. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.

Wykryto podatność w sambitraj Student Management System do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5. Podatność dotyczy funkcji mysqli_query w pliku student_dashboard.php komponentu Student Dashboard. Manipulacja argumentem roll_no prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Wykryto podatność w systemie Student-Management-System autorstwa sambitraj. Nieznana funkcjonalność komponentu Dashboard pozwala na manipulację argumentami roll_no/teacher_name, co prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W systemie Student-Management-System (commit 18ea7904...) wykryto podatność SQL injection w pliku loginCheckTest.php w komponencie Login. Manipulacja argumentami username/password umożliwia zdalny atak. Exploit jest publiczny, a produkt nie używa wersjonowania, więc nie ma informacji o dotkniętych wersjach.

Podatność w systemie zarządzania studentami imranrisal-dev Student-Management-System umożliwia nieograniczone przesyłanie plików przez funkcję storeProfileImage w pliku student_profile_pic.php. Atakujący może zdalnie manipulować argumentem choose_file, co prowadzi do przesłania dowolnego pliku. Exploit został publicznie ujawniony i może być wykorzystany.

W projekcie imvks786 student_management_system do commitu 9599b560ad3c3b83e75d328b76bedcd489ef1f46 zidentyfikowano słabość w nieznanej funkcji pliku /add.php komponentu Student Record Handler. Wykonanie manipulacji może prowadzić do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Projekt używa systemu wydań ciągłych, więc informacje o wersjach nie są ujawniane. Projekt został poinformowany o problemie, ale nie odpowiedział.

W systemie Kushan2k student-management-system do wersji f16a4ceaddd6729c4b306ed4641cda3176c1ef2a wykryto podatność na nieprawidłową autoryzację w funkcji edit-admin pliku controllers/AdminController.php w komponencie Profile Update Endpoint poprzez manipulację argumentem isadmin. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Produkt stosuje model ciągłego wydawania, więc nie podano wersji.

Kushan2k student-management-system do commitu f16a4ce ma podatność nieograniczonego przesyłania plików w pliku service/RegisterService.php poprzez argument stimg. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.

Student-Management-System (do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0) ma podatność w pliku admin/deleteform.php, gdzie argument sid prowadzi do nieprawidłowej autoryzacji.

Podatność w Student-Management-System (a4m4) do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0. Nieznana funkcja w pliku admin/ umożliwia wykonanie kodu po przekierowaniu (open redirect). Atak zdalny możliwy.

W sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność XSS na stronie Dashboard. Manipulacja argumentem Name umożliwia zdalne wykonanie skryptu. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.

W systemie sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność na wstrzykiwanie SQL w komponencie strony logowania. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.

Podatność w projekcie STUDENT-MANAGEMENT-SYSTEM (do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5) w komponencie Dashboard, prowadząca do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Cyber-III Student-Management-System (do commita 1a938fa61e9f735078e9b291d2e6215b4942af3f) odkryto podatność Cross-Site Scripting (XSS) w pliku /admin/Add%20notice/batch-notice.php. Manipulacja argumentem $_SERVER['PHP_SELF'] umożliwia zdalny atak, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.