PT-2025-22563 · Schule · Schule

Ibnusued · Publicado 2025-05-22 · Atualizado 2025-05-22 · CVE-2025-48373

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Schule anteriores à 1.0.1

Descrição O problema envolve o software do sistema de gestão escolar de código aberto Schule, que depende de JavaScript no lado do cliente para redirecionar usuários para diferentes painéis com base em sua função. Esta implementação representa um risco de segurança porque assume que o valor de data.role é confiável no lado do cliente. Atacantes podem manipular JavaScript no navegador e definir data.role para qualquer valor arbitrário, obtendo acesso não autorizado a áreas restritas da aplicação.

Recomendações Para versões anteriores à 1.0.1, atualize para a versão 1.0.1 ou posterior para resolver o problema. Como medida de contorno temporária, considere implementar validação de funções de usuário no lado do servidor para prevenir acesso não autorizado. Restrinja o acesso a áreas sensíveis da aplicação até que a atualização seja aplicada.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-48373

GHSA-37H9-QQ7C-6MC9

Produtos afetados

Schule

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48373.json · Exploit
• https://github.com/schule111/Schule/commit/cbf7f509c37acd69b4ab8ee19d842de867b46b7e · Correção
• https://github.com/schule111/Schule/security/advisories/GHSA-37h9-qq7c-6mc9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48373 · Nota de Segurança
• https://twitter.com/CVEnew/status/1925656008623280295 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-48373 · Aviso do Fabricante