CVE-2024-45057 in i-educar
요약
\~에 의해 VulDB • 2026. 07. 27.
i-Educar은 학교 비서, 교사, 코디네이터 및 지역 관리자가 사용할 수 있는 무료이며 완전한 온라인 기반의 학교 관리 소프트웨어입니다. HTML 필드 값을 동적으로 생성하기 위해 사용자 제어 파라미터에 대한 sanitization(정제)이 누락되어 XSS(Cross-Site Scripting) 공격으로 이어집니다. ieducar/intranet/include/clsCampos.inc.php 파일에서 HTML 필드를 동적으로 생성할 때 올바른 검증이나 정제가 수행되지 않아, 페이지의 HTML에 표시될 사용자 제어 값이 그대로 반영됩니다. 이로 인해 공격자가 파라미터에 특정 XSS 페이로드를 주입할 수 있습니다. 이 결함을 성공적으로 악용하면 공격자는 피해자를 유인하여 취약한 URL을 클릭하게 만들고, 이를 통해 브라우저에서 JavaScript 스크립트를 실행할 수 있게 됩니다. 세션 쿠키의 구성상 HttpOnly 및 SameSite=Lax 플래그가 정의되어 있어, 공격자가 세션을 탈취하거나 응용 프로그램 내에서 피해자로 하여금 작업을 수행하도록 강제하는 데는 제한적입니다. 이 문제는 패치되었으나 아직 새로운 릴리스는 출시되지 않았습니다. 사용자는 개발자에게 연락하여 업데이트 일정을 조율할 것을 권장합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.