François Jacquet

RosarioSIS before 12.9 contains a sql injection vulnerability that allows authenticated non-student users, including parents, to inject SQL via the unquoted period id parameter in StudentSummary.php. Attackers can supply payloads without single quotes into IN() clauses to extract administrator password hashes and student records through time-based queries or modify data via stacked statements.

RosarioSIS before 12.9 contains an improper authorization vulnerability that allows school-scoped administrators to assign fees and payments to students of other schools via MassAssignFees.php and MassAssignPayments.php. Attackers can substitute foreign student IDs in the student[] POST array of a modfunc=save request to alter other schools' student billing balances, breaking school isolation.

O problema diz respeito a uma vulnerabilidade de Cross-Site Scripting refletido. Isso permite que invasores remotos executem scripts web arbitrários por meio da incorporação de javascript ou tags HTML em uma solicitação GET.

O problema é causado pela validação inadequada das entradas fornecidas pelo usuário pelo script Preferences.php, permitindo ataques XSS. Um invasor remoto poderia explorar essa vulnerabilidade usando o parâmetro `tab` em uma URL maliciosa, como “/preferences.php?tab=”.

O problema é causado pela validação inadequada das entradas fornecidas pelo usuário pelo script Search.inc.php, permitindo ataques XSS. Um invasor remoto poderia explorar essa vulnerabilidade usando o parâmetro `advanced` em uma URL manipulada, como “/api/v1/search” ou pontos de extremidade semelhantes.

O problema é causado pela validação inadequada dos dados fornecidos pelo usuário pelo script PrintSchedules.php, permitindo que um invasor remoto explore a vulnerabilidade utilizando o parâmetro `include inactive` em uma URL manipulada.