В Portabilis i-Diario до версии 1.5.0 включительно обнаружена уязвимость межсайтового скриптинга (XSS) в компоненте Registro das atividades. Атака возможна удалённо, эксплойт уже опубликован, а исправление доступно в виде патча. Уровень опасности по CVSS — 5.1 (средний).
В популярной бразильской образовательной платформе Portabilis i-Diario выявлена уязвимость, связанная с недостаточной нейтрализацией пользовательского ввода. Проблема получила идентификатор CVE-2025-8787 и затрагивает функциональность регистрации учебных материалов по дисциплинам. Поскольку эксплойт уже опубликован, администраторам следует действовать без промедления.
Подробности
Уязвимость затрагивает Portabilis i-Diario вплоть до версии 1.5.0. Уязвимый компонент — Registro das atividades, а именно обработчик файла /registros-de-conteudos-por-disciplina/. При манипуляции аргументом Registro de atividades/Conteúdos происходит внедрение произвольного кода — классический cross site scripting (XSS). Оценка по шкале CVSS составляет 5.1, что соответствует среднему уровню критичности.
Атака может быть выполнена удалённо, без необходимости физического доступа к системе или аутентификации с высокими привилегиями. Эксплойт опубликован в открытом доступе, что повышает риск его использования злоумышленниками для кражи сессионных данных, подмены содержимого страниц или перенаправления пользователей на вредоносные ресурсы. Особую опасность XSS представляет для образовательных платформ, где в системе могут одновременно работать сотни учеников и преподавателей.
Разработчик подтвердил проблему и выпустил исправление. Патч идентифицируется как 821342cd8d952e8bd214cb16145da785a92f5681. Согласно заявлению вендора, «значения, отображаемые на этом экране, теперь проходят санитизацию на выходе: сохраняется лишь минимальный белый список базовых тегов форматирования, а все атрибуты удаляются, поэтому внедрённые
