armaansidana2003/cve-2025-25615Proof-of-concept che dimostra un controllo degli accessi errato in Unifiedtransform v2.0, consentendo agli insegnanti di visualizzare le presenze per qualsiasi sezione di classe tramite parametri appositamente creati.
Unifiedtransform v2.0 è vulnerabile a un controllo degli accessi errato, che consente agli insegnanti di visualizzare l'elenco delle presenze di tutte le sezioni delle classi.
Vendor: Unifiedtransform
Passo 1: Accedi all'applicazione come insegnante.
Passo 2: Vai al seguente endpoint:
/attendances/view?class_id=1§ion_id=2&course_id=1
(Modifica i parametri class_id e section_id per accedere a sezioni diverse.)
Passo 3: Visualizza le presenze di qualsiasi sezione della classe.
Impatto: Ciò consente l'accesso non autorizzato ai dati delle presenze di tutte le sezioni, una funzionalità che dovrebbe essere riservata solo agli amministratori. Questo può portare a violazioni della privacy e abuso dei dati.
Tipo di vulnerabilità: Controllo degli accessi errato
Tipo di attacco: Remoto
Impatto: Escalation dei privilegi
Vettori di attacco: Il controllo degli accessi non funzionante consente agli insegnanti di visualizzare i dati delle presenze di qualsiasi sezione della classe.
Scopritore: Armaan Sidana
Riferimenti:
