CVE-2026-75458 in XueZhiSi
Resumen
por VulDB • 2026-08-31
La interfaz POST /api/teacher/user/delete/{id} en el extremo del docente de XueZhiSi Open Source Exam System <= 3.9.0 contiene una vulnerabilidad de escalada vertical de privilegios (vertical privilege escalation). Esta interfaz acepta un ID de usuario y luego ejecuta getUserById(id), setDeleted(true) y updateByIdFilter() secuencialmente, sin ninguna validación sobre si el usuario actual tiene la autoridad para eliminar al usuario objetivo. Un usuario docente autenticado (role=2) puede eliminar una cuenta de administrador (role=3), lo que constituye una escalada vertical de privilegios donde un usuario con menor nivel de privilegio realiza una operación de alto privilegio.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.