关键信息 漏洞类型 Broken Object Level Authorization (BOLA) 影响的系统 i-Educar 应用程序的 端点 漏洞描述 低权限用户（如标准学生/负责人账户）可以通过该端点检索其范围之外的学生注册信息，暴露个人可识别信息（PII），包括姓名、班级、课程、注册状态和机构关系。 漏洞细节 易受攻击的端点: GET 应用程序在处理此端点时未能强制执行对象级授权，导致任何经过身份验证的用户可以操纵请求值以访问敏感信息。 概念验证 (PoC) 1. 以非特权用户身份进行身份验证。 2. 发送以下请求: 3. 观察到返回了学生的信息。 影响 暴露学生的个人可识别信息（PII） 包括姓名、班级、课程、注册状态和机构关系 潜在风险 未经授权的数据收集所有学生跨机构 隐私违规（LGPD合规风险） 攻击者的社会工程机会 对机构的声誉损害 严重性 高 - 低权限要求 - 高影响（敏感数据暴露） 参考 CVE-2025-9687 VulnDB-321899 [i-Educar – Official Repository] 发现者 Marcio Queiroz by CVE-Hunters