CVE-2026-120343
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
CloudClassroom-PHP-Project est un outil de gestion de classe basé sur le web. Une faille existe dans le fichier `manageassessment2.php` où plusieurs arguments, tels que `ExamName` ou les numéros de question, ne sont pas correctement nettoyés avant d'être affichés. Cela permet à un attaquant d'injecter des scripts malveillants dans la page via une URL spécialement conçue.
Un attaquant peut utiliser cela pour exécuter du JavaScript dans le navigateur d'une victime, permettant potentiellement de voler des cookies de session ou de rediriger les utilisateurs vers des sites de phishing. S'agissant d'une attaque de type cross-site scripting (XSS) réfléchie, elle ne nécessite aucune authentification et est facile à exécuter, mais elle requiert qu'une victime clique sur un lien malveillant. L'impact global sur l'intégrité et la disponibilité du serveur est négligeable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw has been found in mathurvishal CloudClassroom-PHP-Project. The impacted element is an unknown function of the file manageassessment2.php. This manipulation of the argument ExamName/Q1/Q2/Q3/Q4/Q5 causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been published and may be used. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The vendor was contacted early about this disclosure but did not respond in any way.