CVE-2025-8508

CVE-2025-8508: Múltiplos Cross-Site Scripting (XSS) Armazenado no endpoint `/intranet/educar_avaliacao_desempenho_cad.php`

Publicação CVE: https://www.cve.org/CVERecord?id=CVE-2025-8508

Resumo

Múltiplas vulnerabilidades de XSS (Cross-Site Scripting Armazenado) foram identificadas no endpoint /intranet/educar_avaliacao_desempenho_cad.php do aplicativo i-Educar. Essa vulnerabilidade permite que invasores injetem scripts maliciosos nos parâmetros titulo_avaliacao e descricao. Os scripts injetados são armazenados no servidor e executados automaticamente sempre que a página afetada é acessada pelos usuários, representando um risco de segurança significativo.

Detalhes

Endpoint Vulnerável: /intranet/educar_avaliacao_desempenho_cad.php

Parâmetros: titulo_avaliacao e descricao

O aplicativo não consegue validar e sanitizar adequadamente as entradas do usuário nos parâmetros titulo_avaliacao e descricao. Essa falta de validação permite que invasores injetem scripts maliciosos, que são armazenados no servidor. Sempre que a página afetada é acessada, o payload malicioso é executado no navegador da vítima, potencialmente comprometendo os dados e o sistema do usuário.

PoC

Payload:

1
  <script>alert('PoC-XXS51')</script>

O payload foi enviado por meio dos campos titulo_avaliacao e descricao e armazenado com sucesso. Quando a página que exibe esses valores é acessada, o script é executado no contexto da sessão do navegador do usuário, confirmando a presença de uma vulnerabilidade XSS armazenada.

Impacto

Roubo de cookies de sessão: Invasores podem usar cookies de sessão roubados para sequestrar a sessão de um usuário e executar ações em seu nome.
Baixar malware: Invasores podem induzir os usuários a baixar e instalar malware em seus computadores.
Sequestro de navegadores: Invasores podem sequestrar o navegador de um usuário ou aplicar exploits baseados nele.
Roubo de credenciais: Invasores podem roubar as credenciais de um usuário.
Obter informações confidenciais: Invasores podem obter informações confidenciais armazenadas na conta de um usuário ou em seu navegador.
Desfigurar sites: Invasores podem desfigurar um site alterando seu conteúdo.
Desorientar usuários: Invasores podem alterar as instruções fornecidas aos usuários que visitam o site alvo, desorientando seu comportamento.
Prejudicar a reputação de uma empresa: Invasores podem prejudicar a imagem de uma empresa ou espalhar desinformação desfigurando um site corporativo.