CVE-2026-116010
Beschrijving NL
RosarioSIS vóór 12.9.1 bevat een ontbrekende autorisatiekwetsbaarheid waarmee geverifieerde leraren records kunnen schrijven voor studenten buiten hun cursusperiode door willekeurige studenten-ID's te verstrekken. Aanvallers kunnen de st_arr, waarden of aanwezigheidspostarrays in MakeReferral.php, EnterEligibility.php, InputFinalGrades.php en TakeAttendance.php wijzigen om verwijzingen, geschiktheidscodes, aanwezigheid en eindcijfers voor elke student op de school te maken.
Origineel (Engels) tonen
RosarioSIS before 12.9.1 contains a missing authorization vulnerability that allows authenticated teachers to write records for students outside their course period by supplying arbitrary student IDs. Attackers can modify the st_arr, values, or attendance POST arrays in MakeReferral.php, EnterEligibility.php, InputFinalGrades.php, and TakeAttendance.php to create referrals, eligibility codes, attendance and final grades for any student in the school.