CVE-2026-120339
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
CloudClassroom-PHP-Project est un outil de gestion pédagogique utilisé pour traiter les données de classe. Une faille dans le fichier `updatedetailsfromfaculty.php` permet à un attaquant d'injecter des scripts malveillants via l'argument `fname`. Comme le logiciel utilise un modèle de publication continue (rolling release), aucun numéro de version spécifique affecté n'est disponible.
Un attaquant peut utiliser cette faille pour exécuter un script intersite (XSS) dans le navigateur d'une victime, compromettant potentiellement l'intégrité de la page affichée à l'utilisateur. Cette attaque est réalisée à distance et ne nécessite pas d'authentification, mais elle requiert que l'utilisateur interagisse avec un lien spécialement conçu. Bien qu'un exploit public existe, l'impact global est faible car il ne peut pas compromettre directement les données ou la disponibilité du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in mathurvishal CloudClassroom-PHP-Project. This vulnerability affects unknown code of the file updatedetailsfromfaculty.php. Performing a manipulation of the argument fname results in cross site scripting. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The vendor was contacted early about this disclosure but did not respond in any way.