CVE-2026-75458 in XueZhiSi
요약
\~에 의해 VulDB • 2026. 08. 31.
XueZhiSi 오픈 소스 시험 시스템(<= 3.9.0)의 교사용 인터페이스 POST /api/teacher/user/delete/{id}에는 수직 권한 상승(vertical privilege escalation) 취약점이 존재합니다. 이 인터페이스는 사용자 ID를 받아들이고, 현재 사용자가 대상 사용자를 삭제할 권한이 있는지 검증하지 않은 채로 getUserById(id), setDeleted(true), updateByIdFilter()를 순차적으로 실행합니다. 인증된 교사 사용자(역할=2)가 관리자 계정(역할=3)을 삭제할 수 있으며, 이는 낮은 수준의 특권을 가진 사용자가 높은 수준의 작업을 수행하는 수직 권한 상승에 해당합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.