CVE-2026-75458 in XueZhiSi
Résumé
par VulDB • 31/08/2026
L'interface POST /api/teacher/user/delete/{id} côté enseignant dans le système d'examen open source XueZhiSi <= 3.9.0 contient une vulnérabilité de vertical privilege escalation (élévation verticale des privilèges). Cette interface accepte un ID utilisateur, puis exécute getUserById(id), setDeleted(true) et updateByIdFilter() séquentiellement, sans aucune validation pour vérifier si l'utilisateur actuel dispose de l'autorisation nécessaire pour supprimer l'utilisateur cible. Un utilisateur enseignant authentifié (role=2) peut supprimer le compte d'un administrateur (role=3), ce qui constitue une vertical privilege escalation où un utilisateur disposant de privilèges inférieurs effectue une opération nécessitant des privilèges élevés.
Once again VulDB remains the best source for vulnerability data.