ProjectsAndPrograms School Management System Stored XSS (CVE-2026-47324) and Weak Credentials (CVE-2026-47325) Advisory

脆弱性概要 CERT Polska は、ProjectsAndPrograms 学校管理システムソフトウェアにおける2つの脆弱性を報告しました。 1. CVE-2026-47324：スタティック型（保存型）クロスサイトスクリプティング（XSS）脆弱性。 2. CVE-2026-47325：弱い認証情報（weak credentials）脆弱性。 影響範囲 CVE-2026-47324： - 脆弱性タイプ：スタティック型（保存型）クロスサイトスクリプティング（XSS）。 - 影響：攻撃者（教師や管理者など）は、学生・教師オブジェクトの複数の属性に悪意のあるJavaScriptコードを挿入でき、そのコードは他のユーザーのブラウザで実行される。 - 重大性：CVE-2025-11661 と組み合わせる場合、攻撃者は権限なしで任意の JavaScript コードを挿入・実行できる。 CVE-2026-47325： - 脆弱性タイプ：弱い認証情報。 - 影響：無権限アクセスの可能性があり得る。 修正策 CVE-2026-47324： - 修正提案：入力に対して適切な無害化処理（sanitization）を行い、クロスサイトスクリプティング攻撃を防止する。 CVE-2026-47325： - 修正提案：強い認証情報を使用し、弱いパスワードを避ける。 詳細情報 CVE ID： - CVE-2026-47324 - CVE-2026-47325 公開日：2026年6月3日 ベンダー：ProjectsAndPrograms 製品：school-management-system 影響を受けるバージョン：6b6fae5 脆弱性タイプ（CWE）： - CVE-2026-47324：CWE-79（クロスサイトスクリプティング） - CVE-2026-47325：CWE-1391（弱い認証情報） 報告元：CERT Polska 説明 CERT Polska は、ProjectsAndPrograms 学校管理システムソフトウェアにおける脆弱性に関する報告を受け、情報公開の調整業務に従事した。 CVE-2026-47324：ProjectsAndPrograms 学校管理システムには、スタティック型（保存型）クロスサイトスクリプティング（XSS）脆弱性が存在する。攻撃者は、学生・教師オブジェクトの複数の属性に悪意のある JavaScript コードを挿入でき、そのコードは他のユーザーのブラウザで実行される。CVE-2025-11661 と組み合わせる場合、攻撃者は権限なしで任意の JavaScript コードを挿入・実行できる。 CVE-2026-47325：弱い認証情報（weak credentials）による脆弱性が存在し、無権限アクセスを引き起こす可能性がある。 POC コードまたはエクスプロイトコード ページには具体的な POC コードやエクスプロイトコードは提示されていない。

目標達成 すべての支援者に感謝 — 100%達成しました！

ProjectsAndPrograms School Management System Stored XSS (CVE-2026-47324) and Weak Credentials (CVE-2026-47325) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！