关键漏洞信息 漏洞描述 Unifiedtransform v2.0 存在不正确的访问控制漏洞。任何用户（学生和教师）都可以通过 端点访问和修改学生记录。此功能仅用于管理用途。利用此漏洞可能导致未经授权的数据操作和权限提升。 影响的产品 产品名称: Unifiedtransform v2.0 受影响组件: 总访问控制机制，负责执行用户权限和角色。路由: GET 控制器: UserController 方法: editStudents() 以及所有与编辑学生档案相关的其他端点和功能。 攻击向量/概念验证 (PoC) 1. 安装应用程序并使用默认管理员凭据登录。 2. 创建学校会话并根据存储库中的说明添加教师和学生。 3. 以教师或学生身份登录应用程序。 4. 导航到 端点。 5. 更改详细信息并点击更新。 漏洞类型和影响 漏洞类型: 不正确的访问控制 攻击类型: 远程 影响: 权限提升 攻击向量: 破坏的访问控制允许教师或学生修改其他学生的数据。 发现者 Sneh Bavavra 额外信息 影响: 允许对其他学生数据进行未经授权的修改，这些数据应仅由管理员访问。这可能导致严重的数据完整性问题和未经授权的权限提升。 参考资料: - Unifiedtransform GitHub Repository - CWE-284