CVE-2024-45057 in i-educar
الملخص
بحسب VulDB • 01/08/2026
i-Educar هو برنامج مجاني لإدارة المدارس يعمل بالكامل عبر الإنترنت، ويتيح لسكرتارية المدرسة والمعلمين والمنسقين ومديري المناطق إدارة المهام المختلفة. يؤدي عدم تنقية المعلمات التي يتحكم فيها المستخدم عند توليد قيم حقول HTML بشكل ديناميكي إلى هجمات XSS (برمجة المواقع المتقاطعة). لا يقوم التوليد الديناميكي لحقول HTML في ملف ieducar/intranet/include/clsCampos.inc.php بإجراء التحقق الصحيح أو تنقية القيم، مما يعكس القيم التي يتحكم فيها المستخدم لعرضها في صفحة HTML. هذا يسمح لمهاجم بحقن حمولة XSS محددة ضمن معلمة ما. يتيح الاستغلال الناجح لهذا الثغرة للمهاجم خداع الضحية للنقر على رابط ضعيف، مما يمكّن من تنفيذ نصوص JavaScript داخل المتصفح. ونظراً لتكوين ملفات تعريف الارتباط الخاصة بالجلسات (Session Cookies)، حيث تم تحديد العلامات HttpOnly و SameSite=Lax، فإن ما يمكن أن يفعله المهاجم لسرقة الجلسة أو إجبار الضحية على اتخاذ إجراءات ضمن التطبيق يكون محدوداً جداً. تمت معالجة هذه المشكلة ولكن لم يتم إصدار تحديث جديد بعد. يُنصح المستخدمون بالاتصال بالمطور وتنسيق جدول زمني للتحديث.
If you want to get best quality of vulnerability data, you may have to visit VulDB.