armaansidana2003/cve-2025-25615إثبات المفهوم يوضح التحكم في الوصول غير الصحيح في Unifiedtransform v2.0، مما يسمح للمعلمين بعرض الحضور لأي قسم فصل عبر معلمات مصممة.
Unifiedtransform v2.0 عرضة لضعف التحكم في الوصول غير الصحيح، مما يسمح للمدراء بعرض قائمة الحضور لجميع أقسام الفصول الدراسية.
البائع: Unifiedtransform
الخطوة 1: قم بتسجيل الدخول إلى التطبيق كمعلم.
الخطوة 2: انتقل إلى نقطة النهاية التالية: /attendances/view?class_id=1§ion_id=2&course_id=1
(قم بتعديل معاملات class_id و section_id للوصول إلى أقسام مختلفة.)
الخطوة 3: عرض الحضور لأي قسم دراسي.
التأثير: يسمح هذا بالوصول غير المصرح به إلى بيانات الحضور عبر جميع الأقسام، وهي ميزة يجب أن تقتصر على المسؤولين فقط. قد يؤدي ذلك إلى انتهاكات الخصوصية وإساءة استخدام البيانات.
نوع الثغرة: Incorrect Access Control نوع الهجوم: عن بُعد التأثير: تصعيد الصلاحيات نواقل الهجوم: يسمح التحكم في الوصول المكسور للمدراء بعرض بيانات الحضور لأي قسم دراسي.
المكتشف: Armaan Sidana
المراجع:
