125 matches found
CVE-2025-25620
CVE-2025-25620 Unifiedtransform v2.0 存在存储型跨站脚本攻击（XSS）漏洞，位于"创建作业"功能中，允许攻击者在其他用户的会话上下文中执行恶意脚本。 厂商：Unifiedtransform PoC 步骤 1：以教师身份登录应用程序。 步骤 2：创建作业并上传包含XSS载荷的PDF文件。 步骤 3：导航至“课程”下的“查看作业”部分，并打开上传的作业。 影响：当查看作业时，恶意脚本会执行，可能导致账户接管（ATO）及其他严重安全隐患。 漏洞类型：跨站脚本攻击（XSS） 攻击类型：远程 影响：代码执行...
CVE-2024-27665
CVE-2024-27665 Unifiedtransform v2.X 存在存储型跨站脚本攻击（XSS）漏洞，通过课程大纲模块的文件上传功能利用。 供应商：https://github.com/changeweb/Unifiedtransform PoC 步骤 1：登录应用程序并导航到学术模块。 步骤 2：从学术模块使用随机数据创建学期、学年、班级、课程。 步骤 3：导航到课程大纲模块，填写所需详细信息，并在课程大纲文件上传输入中上传包含 XSS 载荷的 PDF 文件。 步骤 4：导航到班级 - 课程大纲并点击下载。 步骤 5：观察 XSS 被触发！...
CVE-2025-25617
CVE-2025-25617 Unifiedtransform v2.0 存在不正确的访问控制漏洞，允许教师创建课程大纲条目——而该功能本应仅限管理员使用。 厂商：Unifiedtransform PoC 步骤 1： 以教师身份登录应用程序。 步骤 2： 访问以下端点： /syllabus/create 步骤 3： 填写必填字段并点击保存。 影响： 教师获得创建课程大纲条目的能力会扰乱教学工作流程，因为此功能应仅限管理员使用。这可能导致未经授权且可能错误的课程大纲数据被添加，造成混乱和管理不当。 漏洞类型： 不正确的访问控制 攻击类型： 远程 影响： 权限提升 攻击向量：...
CVE-2025-25615
CVE-2025-25615 Unifiedtransform v2.0 存在不正确的访问控制漏洞，允许教师查看所有班级的考勤列表。 厂商：Unifiedtransform PoC 步骤1： 以教师身份登录应用程序。 步骤2： 访问以下端点： /attendances/view?classid=1§ionid=2&courseid=1 （修改 classid 和 sectionid 参数以访问不同的班级。） 步骤3： 查看任意班级的考勤情况。 影响： 这允许未经授权访问所有班级的考勤数据，而该功能本应仅限于管理员使用。这可能导致隐私泄露和数据滥用。 漏洞类型： 不正确的访问控制...
CVE-2025-25621
CVE-2025-25621 Unifiedtransform v2.0 存在不正确的访问控制漏洞，允许教师通过端点 /courses/teacher/index?teacherid=2&semesterid=1 对其他教师进行考勤。 厂商：Unifiedtransform PoC 步骤 1： 以教师身份登录应用程序。 步骤 2： 导航到端点 /courses/teacher/index?teacherid=2&semesterid=1（更改教师 ID）。 步骤 3： 点击“进行考勤”，然后点击“保存”。...
CVE-2025-25616
CVE-2025-25616 Unifiedtransform v2.0 存在不正确的访问控制漏洞，允许学生修改考试规则。受影响的端点为 /exams/edit-rule?examruleid=1。 厂商：Unifiedtransform PoC 步骤 1： 以学生身份登录应用程序。 步骤 2： 访问以下端点： /exams/edit-rule?examruleid=1 （修改 examruleid 参数以定位不同的考试规则。） 步骤 3： 更改考试规则并点击保存。 影响：...
CVE-2025-25618
CVE-2025-25618 Unifiedtransform v2.0 存在不正确的访问控制漏洞，允许教师更改班级名称和房间号——这些权限本应仅限管理员操作。 供应商：Unifiedtransform PoC 步骤1： 以教师身份登录应用程序。 步骤2： 浏览以下端点： /section/edit/1 步骤3： 修改班级名称和房间号字段，然后点击保存。 影响： 对班级详情进行未经授权的更改可能导致学术运营中的管理混乱。教师擅自修改这些关键信息会扰乱班级分配、课程安排和教室管理，而这些操作本应仅由管理员处理。 漏洞类型： 不正确的访问控制 攻击类型： 远程 影响： 权限提升 攻击向量：...
CVE-2025-25614
CVE-2025-25614 Unifiedtransform v2.0 中的访问控制不当导致权限提升，允许教师更新其他教师的个人数据。 厂商: Unifiedtransform PoC 步骤 1: 以教师身份登录应用程序。 步骤 2: 访问以下端点: /teachers/edit/3 步骤 3: 更改详细信息并点击保存。 影响: 这允许对其他教师的数据进行未经授权的修改，而通常只有管理员才能访问。这可能导致严重的数据完整性问题以及未授权的权限提升。 漏洞类型: 访问控制不当 攻击类型: 远程 影响: 权限提升 攻击向量: 受损的访问控制允许教师修改其他教师的数据。 发现者: Armaa...
CVE-2025-46204
Descripción Unifiedtransform v2.0 es vulnerable a un Control de Acceso Incorrecto. Cualquier usuario estudiantes y profesores puede acceder y modificar los detalles de los cursos a través de los endpoints /course/edit/id. Esta funcionalidad está destinada exclusivamente para uso administrativo...
CVE-2025-46203
描述 Unifiedtransform v2.0 存在不正确的访问控制漏洞。任何用户（学生和教师）都可以通过 /students/edit/id 端点访问和修改学生记录。此功能本应仅供管理使用。利用此漏洞可能导致未授权数据操作和权限提升。 供应商：Unifiedtransform 产品 一个学校管理软件 v2.0 受影响组件 整体访问控制机制，负责实施用户权限和角色。 路由：GET /students/edit/id 控制器：UserController 方法：editStudents 以及所有其他与编辑学生资料相关的端点和功能。 PoC/攻击向量 步骤 1： 按照官方 GitHub...
EUVD-2025-7674
Malicious code in bioql PyPI...
EUVD-2025-6559
Malicious code in bioql PyPI...
EUVD-2024-50760
Malicious code in bioql PyPI...
EUVD-2025-7677
Malicious code in bioql PyPI...
EUVD-2025-16923
Malicious code in bioql PyPI...
EUVD-2025-7676
Malicious code in bioql PyPI...
EUVD-2025-7675
Malicious code in bioql PyPI...
EUVD-2024-50759
Malicious code in bioql PyPI...