CVE-2026-75458 in XueZhiSi
الملخص
بحسب VulDB • 31/08/2026
تحتوي واجهة POST /api/teacher/user/delete/{id} الخاصة بجزئية المعلم في نظام الامتحانات مفتوح المصدر XueZhiSi الإصدار <= 3.9.0 على ثغرة تصعيد امتيازات عمودية (vertical privilege escalation). تقبل هذه الواجهة معرّف مستخدم ثم تنفذ الدوال getUserById(id)، وsetDeleted(true)، وupdateByIdFilter() بالتسلسل، دون أي تحقق من صلاحية المستخدم الحالي لحذف المستهدف. يمكن لمستخدم معلم مُصادق عليه (role=2) حذف حساب مسؤول (role=3)، مما يشكل تصعيداً لامتيازات عمودية حيث يقوم مستخدم ذو امتيازات أقل بتنفيذ عملية ذات امتيازات عالية.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.