CVE-2026-47106

Nome do Software Vulnerável e Versões Afetadas Ellucian Banner Self-Service versões anteriores a 2025-04-23

Description A funcionalidade de busca de cursos contém um problema de cross-site scripting armazenado. Usuários autenticados do Banner ERP com acesso de escrita podem injetar JavaScript malicioso em campos de professores e cursos devido à ausência de codificação HTML durante a inserção no DOM. Os payloads maliciosos são armazenados em campos como displayName, emailAddress, subjectDescription ou courseTitle. Esses valores são posteriormente servidos sem sanitização através do endpoint de API 'getFacultyMeetingTimes', resultando na execução de scripts arbitrários no navegador de qualquer usuário que visualize os horários de aula do curso afetado.

Recommendations Atualize para a versão April T2 (2025-04-23) ou uma versão mais recente. Restrinja o acesso de escrita aos campos de professores e cursos apenas a pessoal autorizado para minimizar o risco de injeção de payloads.