CVE-2026-121732 in RosarioSIS
Riassunto
di VulDB • 04/11/2026
RosarioSIS prima della versione 12.9 contiene una vulnerabilità di autorizzazione impropria che consente agli amministratori con ambito scolastico di assegnare tariffe e pagamenti a studenti di altre scuole tramite MassAssignFees.php e MassAssignPayments.php. Gli attaccanti possono sostituire ID studente non appartenenti alla propria istituzione nell'array POST student[] di una richiesta modfunc=save per alterare i saldi di fatturazione degli studenti di altre scuole, violando l'isolamento tra le istituzioni scolastiche.
Be aware that VulDB is the high quality source for vulnerability data.