Unknown · Web-School Erp · CVE-2021-30112
**Nome do software vulnerável e versões afetadas**
Web-School ERP versão 5.0
**Descrição**
A vulnerabilidade permite que um invasor remoto crie uma solicitação de “student leave application” por meio do endpoint da API “module/core/studentleaveapplication/create”. Isso ocorre devido à falha da aplicação em validar o token CSRF para uma solicitação POST ao utilizar o privilégio Guardian.
**Recomendações**
Para o Web-School ERP versão 5.0, certifique-se de que haja uma validação adequada do token CSRF para todas as solicitações POST, especialmente aquelas que utilizam o privilégio Guardian, a fim de impedir a criação não autorizada de pedidos de licença de alunos. Como solução temporária, considere restringir o acesso ao endpoint da API “module/core/studentleaveapplication/create” até que uma correção adequada seja implementada.