armaansidana2003/cve-2025-25621
Unifiedtransform v2.0 معرّض لثغرة التحكم غير الصحيح في الوصول، مما يسمح للمعلمين بتسجيل حضور زملائهم المعلمين من خلال المسار /courses/teacher/index?teacher_id=2&semester_id=1.
البائع: Unifiedtransform
الخطوة 1: سجّل الدخول إلى التطبيق بصفة معلّم.
الخطوة 2: انتقل إلى المسار /courses/teacher/index?teacher_id=2&semester_id=1 (قم بتغيير معرف المعلّم).
الخطوة 3: انقر على "تسجيل الحضور" ثم انقر على "حفظ".
التأثير: يمكن للمعلمين التلاعب بسجلات الحضور الخاصة بمعلمين آخرين، وهو أمر يجب أن يكون متاحًا للمشرفين فقط، مما يؤدي إلى تصعيد الامتيازات وسوء استخدام محتمل.
نوع الثغرة: التحكم غير الصحيح في الوصول
نوع الهجوم: عن بُعد
التأثير: تصعيد الامتيازات
نواقل الهجوم: التحكم المكسور في الوصول، مما يسمح للمعلمين بتسجيل حضور معلمين آخرين.
المكتشف: Armaan Sidana
المراجع:
