CVE-2026-75458 in XueZhiSi
要約
〜によって VulDB • 2026年08月31日
XueZhiSi Open Source Exam System <= 3.9.0の教師用エンドインターフェース POST /api/teacher/user/delete/{id}には、垂直特権昇格（vertical privilege escalation）の脆弱性が存在します。このインターフェースはユーザーIDを受け取り、対象ユーザーを削除する権限が現在のユーザーにあるかどうかの検証を行わずに、getUserById(id)、setDeleted(true)、updateByIdFilter()を順次実行します。認証済み教師ユーザー（role=2）は管理者アカウント（role=3）を削除できるため、これは低特権ユーザーが高特権操作を実行する垂直特権昇格となります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.