CVE-2025-8540

XSS Armazenado no i-Educar via public_municipio_cad.php (Com PoC e Screenshots)

🇺🇸 Read in English.

CVE-2025-8540

Introdução

Ao revisar mais uma seção do projeto i-Educar, identifiquei outra ocorrência de XSS armazenado — desta vez no endpoint /intranet/public_municipio_cad.php. A falha está presente no parâmetro nome, que não realiza a devida sanitização dos dados inseridos pelo usuário, permitindo que scripts sejam armazenados e executados automaticamente na tela de listagem.
Após o processo de validação e reporte responsável, a vulnerabilidade foi registrada como CVE-2025-8540.
Neste post, compartilho todos os detalhes técnicos, passo a passo da exploração e os riscos reais dessa falha em ambiente de produção.

O que é a CVE-2025-8540?

A CVE-2025-8540 descreve uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no endpoint /intranet/public_municipio_cad.php do i-Educar.
O problema ocorre no parâmetro nome, que armazena os dados inseridos sem qualquer validação.
O código malicioso é executado automaticamente sempre que usuários acessam a página de listagem: /intranet/public_municipio_lst.php.

Detalhes Técnicos

➤ Endpoint vulnerável: /intranet/public_municipio_cad.php

➤ Parâmetro afetado: nome

➤ Página de disparo (trigger): /intranet/public_municipio_lst.php

➤ Payload Utilizado:

html

<img src=x onerror=alert(1)>

Proof of Concept (PoC)

Para comprovar a falha, realizei os seguintes passos:

➤ Acesse o endpoint: /intranet/public_municipio_cad.php

➤ Selecione o país “Brasil” no primeiro campo (“País”)

➤ Escolha qualquer opção no segundo campo (“Estado”)

➤ Insira o payload no terceiro campo: Nome

➤ Clique em: “Salvar”

A página /intranet/public_municipio_lst.php será carregada automaticamente, e o XSS será executado:

Parameter nome

Impacto

Esta vulnerabilidade de XSS armazenado pode ser explorada para:

• Roubar cookies de sessão (session hijacking)

• Instalar malwares nos dispositivos dos usuários

• Capturar credenciais salvas no navegador

• Redirecionar vítimas para sites maliciosos

• Alterar a interface da aplicação (defacement)

• Obter ou manipular dados sensíveis

• Danificar a reputação institucional

Fontes Oficiais

A falha foi reportada de forma ética e registrada como:

Conclusão

Mais uma vez, um único campo sem validação adequada representa uma brecha. A CVE-2025-8540 reforça a importância de validar todos os dados de entrada — especialmente em áreas administrativas de sistemas web.
Se você trabalha com plataformas que lidam com dados públicos, educacionais ou informações sensíveis, revise todos os pontos de entrada do usuário com atenção. Vulnerabilidades como essa podem passar despercebidas, mas têm potencial para causar sérios danos.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹