CVE-2025-10099: Múltiplos Cross-Site Scripting (XSS) Armazenado no endpoint educar_usuario_cad.php
CVE Publication: https://www.cve.org/CVERecord?id=CVE-2025-10099
Resumo
Uma vulnerabilidade de XSS (Cross-Site Scripting Refletido) foi identificada no endpoint educar_usuario_cad.php do aplicativo i-Educar. Essa vulnerabilidade permite que invasores injetem scripts maliciosos nos parâmetros email, data_inicial e data_expiracao.
Detalhes
Endpoint Vulnerável: educar_usuario_cad.php
Parâmetros: email, data_inicial e data_expiracao
O aplicativo reflete essa entrada diretamente na resposta. Embora o servidor aplique a sanitização antes de armazenar os dados ou retorná-los posteriormente, o payload é executado imediatamente no navegador da vítima após a reflexão, permitindo que um invasor execute JavaScript arbitrário na sessão do usuário.
PoC
Payloads:
Parâmetro email
| |
Parâmetros data_inicial e data_expiracao
| |
Impacto
- Roubo de cookies de sessão: Invasores podem usar cookies de sessão roubados para sequestrar a sessão de um usuário e executar ações em seu nome.
- Baixar malware: Invasores podem induzir os usuários a baixar e instalar malware em seus computadores.
- Sequestro de navegadores: Invasores podem sequestrar o navegador de um usuário ou aplicar exploits baseados nele.
- Roubo de credenciais: Invasores podem roubar as credenciais de um usuário.
- Obter informações confidenciais: Invasores podem obter informações confidenciais armazenadas na conta de um usuário ou em seu navegador.
- Desfigurar sites: Invasores podem desfigurar um site alterando seu conteúdo.
- Desorientar usuários: Invasores podem alterar as instruções fornecidas aos usuários que visitam o site alvo, desorientando seu comportamento.
- Prejudicar a reputação de uma empresa: Invasores podem prejudicar a imagem de uma empresa ou espalhar desinformação desfigurando um site corporativo.
Referência
https://github.com/marcelomulder/CVE/blob/main/i-educar/CVE-2025-10099.md
Encontrado por
By: CVE-Hunters