یک آسیب‌پذیری امنیتی از نوع IDOR (Insecure Direct Object Reference) با شناسه CVE-2026-97646 در سیستم مدیریت دانشجویان ningzichun شناسایی شده است. این نقص امنیتی در نسخه‌های تا کامیت 98760f5711cf6dc8b4adca53a9e207ca49b02ebf وجود دارد.
جزئیات فنی
این آسیب‌پذیری در فایل admin/fun/getStudent.php و در پارامتر sid رخ می‌دهد. به دلیل عدم کنترل مناسب روی دسترسی‌ها (Authorization Bypass)، یک مهاجم می‌تواند با تغییر مقدار این پارامتر، به صورت از راه دور (Remote) به سوابق و اطلاعات دانشجویان دیگر دسترسی پیدا کرده و آن‌ها را مطالعه کند.
وضعیت فعلی و ریسک
- تاثیر: این نقص منجر به نشت اطلاعات (Information Disclosure) می‌شود، اما تاثیری بر روی یکپارچگی (Integrity) یا در دسترس بودن (Availability) سیستم ندارد.
- وضعیت اکسپلویت: کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند توسط مهاجمان مورد استفاده قرار گیرد.
- پاسخ سازنده: گزارش‌های مربوط به این مشکل برای توسعه‌دهندگان ارسال شده است، اما تا این لحظه هیچ پاسخی دریافت نشده و هیچ وصله امنیتی (Patch) رسمی برای رفع آن ارائه نشده است.
