CVE-2025-9638: Cross-Site Scripting (XSS) Armazenado no Painel Administrativo
Publicação CVE: https://www.cve.org/CVERecord?id=CVE-2025-9638
Resumo
Uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada foi identificada no endpoint educar_usuario_cad.php do aplicativo i-Educar. O problema ocorre porque o parâmetro matricula_interna não é higienizado antes de ser armazenado no banco de dados. Scripts maliciosos injetados nesse campo persistem no sistema e são executados sempre que o registro afetado é exibido na interface web, levando a uma vulnerabilidade persistente no lado do cliente.
Detalhes
Endpoint vulnerável: educar_usuario_cad.php
Parâmetro: matricula_interna
PoC
Payload
| |
Passos para reproduzir:
- Faça login com uma conta que possa criar ou editar usuários.
- Navegue até Configurações → Permissões → Usuários.
- Crie um novo usuário ou edite um existente.
- No campo Matrícula Interna, insira o payload.
- Salve as alterações.
- Abra o registro do usuário afetado.
- O payload é executado imediatamente, confirmando o XSS armazenado.
Impacto
- Sequestro de sessão: Roubo de cookies ou tokens de autenticação para se passar por outros usuários.
- Roubo de credenciais: Coleta de nomes de usuário e senhas usando scripts maliciosos.
- Distribuição de malware: Distribuição de código indesejado ou prejudicial às vítimas.
- Elevação de privilégios: Comprometimento de usuários administrativos por meio de scripts persistentes.
- Manipulação ou adulteração de dados: Alteração ou interrupção do conteúdo do site.
- Danos à reputação: Erosão da confiança entre usuários e administradores do site.
Referência
https://fluidattacks.com/pt/advisories/travis
Encontrado por:
By: CVE-Hunters