CVE-2026-12176: XSS i SourceCodester CET Grading System
XSS-sårbarhed i SourceCodester CET Automated Grading System 1.0 kan udnyttes via /index.php. Begræns adgang, da der ikke findes en officiel rettelse.
Hvad er det?
CVE-2026-12176 er en cross site scripting-sårbarhed (XSS), hvor en angriber kan indsætte skadelig scriptkode gennem parameteren ‘action’ i filen /index.php. Cross site scripting betyder, at et websted uforvarende udfører kode, som en angriber har placeret, i en besøgendes browser. Sårbarheden findes i SourceCodester CET Automated Grading System with AI Predictive Analytics version 1.0, et gratis PHP-baseret system til automatisk bedømmelse og AI-baseret forudsigelse af elevresultater, som typisk bruges af skoler og uddannelsesforløb til mindre projekter.
Hvem rammer det?
Sårbarheden rammer installationer af CET Automated Grading System with AI Predictive Analytics version 1.0 fra SourceCodester. Systemet bruges typisk af mindre uddannelsesinstitutioner, undervisere eller studerende, der har sat det op som et karaktersystem. Er systemet tilgængeligt fra internettet, kan alle med et link til /index.php forsøge at udnytte sårbarheden.
Hvad kan ske?
En angriber kan sende et link med skadelig kode til en administrator eller lærer, der bruger systemet. Klikker offeret på linket, mens vedkommende er logget ind, kan angriberens script køre i offerets browser med offerets rettigheder. Det kan bruges til at stjæle en sessionscookie, ændre indhold på siden eller udføre handlinger på offerets vegne, for eksempel oprette brugere eller ændre karakterer.
Hvor alvorligt er det?
CVSS-scoren er 4,3 ud af 10, vurderet som moderat. Angrebet kræver ikke login for angriberen, men kræver at en bruger klikker på et link eller besøger en manipuleret side, altså brugerinteraktion. Sårbarheden påvirker kun integriteten i lav grad og kan ikke i sig selv læse data eller lukke systemet ned. Der er offentliggjort et proof of concept med angrebskode, men der er ingen oplysninger om, at den udnyttes aktivt i angreb.
Hvad gør jeg nu?
Der findes ingen officiel rettelse fra SourceCodester, så I skal selv afskærme og begrænse systemet.
- Undersøg om I bruger CET Automated Grading System with AI Predictive Analytics version 1.0, og om det er tilgængeligt fra internettet.
- Begræns adgangen til systemet til et internt netværk eller VPN, indtil en rettelse foreligger.
- Har I adgang til koden, så indfør validering og rensning af parameteren ‘action’ i /index.php.
- Informer administratorer og lærere om ikke at klikke på ukendte links, der peger på systemet.
- Overvej på sigt at udskifte systemet, da SourceCodester-projekter typisk ikke får løbende sikkerhedsopdateringer.
- Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om, hvordan I lukker sårbarheden uden at forstyrre driften.
Begræns adgang, ingen officiel rettelse
Vi anbefaler, at I kortlægger, om jeres organisation bruger dette system, og at I begrænser adgangen til interne netværk, indtil en rettelse findes. Da SourceCodester-projekter ofte er skoleprojekter uden formel supportaftale, bør I på sigt overveje en mere robust løsning. Det er acceptabelt at vente med en akut indsats, hvis systemet ikke er tilgængeligt fra internettet og ikke bruges af eksterne brugere.
Tidslinje
Konkrete eksempler
Skadeligt link sendt til lærer
En dansk erhvervsskole har installeret CET Automated Grading System til at holde styr på elevkarakterer. En elev sender et link med skadelig kode til en lærer via mail, forklædt som en fejlrapport. Læreren klikker på linket, mens hun er logget ind i systemet, og angriberens script kører i hendes browser, hvilket giver angriberen mulighed for at ændre indstillinger på hendes vegne.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger CET Automated Grading System with AI Predictive Analytics version 1.0 fra SourceCodester, og systemet er tilgængeligt fra internettet.
Hvordan tjekker vi, om vores installation er sårbar?
Tjek om jeres installation er version 1.0, og om filen /index.php tager en parameter kaldet ‘action’. Test i et sikkert testmiljø, ikke direkte i produktion.
Kan vi vente til efter weekenden med at reagere?
Ja, hvis systemet kun er tilgængeligt internt og ikke bruges af eksterne brugere. Er det tilgængeligt fra internettet, bør I begrænse adgangen hurtigst muligt.
Findes der en officiel opdatering?
Der er ingen officiel rettelse fra SourceCodester på nuværende oplysningstidspunkt. I skal derfor selv afskærme systemet eller rette koden.
Skal vi anmelde sårbarheden til myndighederne?
Kun hvis I konstaterer et konkret angreb, der involverer persondata. Det skal i så fald anmeldes til Datatilsynet efter reglerne om databrud.
Kan sårbarheden bruges til at overtage hele systemet?
Nej, ifølge CVSS-vurderingen påvirker den kun integriteten i lav grad og giver ikke direkte adgang til data eller systemet. Den kan dog bruges som første skridt i et mere komplekst angreb.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in SourceCodester CET Automated Grading System with AI Predictive Analytics 1.0. The impacted element is an unknown function of the file /index.php. The manipulation of the argument action leads to cross site scripting. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.