CVE-2026-121732
RosarioSIS before 12.9 Improper Authorization via Student Billing Mass Assignment
CVSS 3.1Medium
2.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите RosarioSIS до версии 12.9 или более поздней.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В RosarioSIS нарушено разграничение прав, что позволяет администраторам распределять сборы и платежи учащимся чужих школ.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Скрипты MassAssignFees.php и MassAssignPayments.php не проверяют принадлежность идентификаторов учащихся к школе администратора. Злоумышленник может подменить значения в массиве student[] при отправке POST-запроса modfunc=save.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Нарушение изоляции школ и несанкционированное изменение финансовых балансов учащихся других учебных заведений.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/francoisjacquet/rosariosis/commit/a8bb460aacb11661934e6e91fbe0d8158fbc0c4f
- github.comhttps://github.com/francoisjacquet/rosariosis
- gitlab.comhttps://gitlab.com/francoisjacquet/rosariosis/-/issues/376
- github.comhttps://github.com/francoisjacquet/rosariosis/blob/v12.8.1/modules/Student_Billing/MassAssignFees.php#L15
- github.comhttps://github.com/francoisjacquet/rosariosis/blob/v12.8.1/modules/Student_Billing/MassAssignPayments.php#L16
- github.comhttps://github.com/francoisjacquet/rosariosis/releases/tag/v12.9
- www.vulncheck.comhttps://www.vulncheck.com/advisories/rosariosis-before-12.9-improper-authorization-via-student-billing-mass-assignment
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-121732: RosarioSIS before 12.9 Improper Authorization via Student Billing Mass Assignment. URL: https://cve.futuretools.ru/cve/CVE-2026-121732
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_121732,
title = {{CVE-2026-121732: RosarioSIS before 12.9 Improper Authorization via Student Billing Mass Assignment}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-121732}},
note = {Оперативный инженерный анализ киберугроз}
}