armaansidana2003/cve-2025-25615Proof-of-concept, демонстрирующий неправильный контроль доступа в Unifiedtransform v2.0, позволяющий учителям просматривать посещаемость любого раздела класса через специально созданные параметры.
Unifiedtransform v2.0 подвержен некорректному контролю доступа, позволяющему учителям просматривать список посещаемости для всех разделов классов.
Поставщик: Unifiedtransform
Шаг 1: Войдите в приложение как учитель.
Шаг 2: Перейдите по следующему адресу:
/attendances/view?class_id=1§ion_id=2&course_id=1
(Измените параметры class_id и section_id для доступа к различным разделам.)
Шаг 3: Просмотрите посещаемость любого раздела класса.
Воздействие: Это позволяет несанкционированный доступ к данным посещаемости по всем разделам, что должно быть доступно только администраторам. Это может привести к нарушению конфиденциальности и неправомерному использованию данных.
Тип уязвимости: Некорректный контроль доступа
Тип атаки: Удаленная
Воздействие: Повышение привилегий
Векторы атаки: Нарушенный контроль доступа позволяет учителям просматривать данные посещаемости для любого раздела класса.
Обнаружитель: Armaan Sidana
Ссылки:
