关键漏洞信息 漏洞描述 Unifiedtransform v2.0 存在不正确的访问控制漏洞。任何用户（学生和教师）都可以通过 端点访问和修改课程详细信息。此功能仅限于管理使用。利用此漏洞允许未经授权的操纵课程名称和类别，损害数据完整性和行政控制。 影响的产品 产品: 学校管理软件 v2.0 受影响的组件 访问控制机制: 负责课程权限。路由: GET 控制器: CourseController 方法: edit() 与编辑课程相关的所有其他端点和功能 PoC/攻击向量 1. 按照官方 GitHub 仓库中的说明安装应用程序，并使用默认管理员凭据 (admin@ut.com:password) 登录。 2. 创建几个课程以填充数据。 3. 以教师或学生身份登录应用程序。 4. 导航到端点: ，其中 ID 从 1 开始，对应现有课程。 5. 更改课程名称和类型并点击更新。 漏洞类型和影响 漏洞类型: 不正确的访问控制 攻击类型: 远程 影响: 权限提升 攻击向量: 破坏访问控制允许教师或学生修改课程数据 发现者 Sneh Bavvarva 额外信息 影响: 未经授权更改课程信息可能导致学术管理混乱和课程结构崩溃。只有管理员应有权修改此类敏感数据。 参考资料: - Unifiedtransform 官方网站 - CVE-284 - Unifiedtransform GitHub 仓库