CVE-2025-8541

XSS Armazenado no i-Educar via public_uf_cad.php (Com PoC e Screenshots)

🇺🇸 Read in English.

CVE-2025-8541

Introdução

Durante a análise do módulo de unidades federativas no i-Educar, identifiquei uma nova vulnerabilidade de XSS armazenado — desta vez no endpoint /intranet/public_uf_cad.php. O parâmetro nome aceita e armazena scripts maliciosos sem qualquer filtragem.
Quando a página de listagem das UFs é acessada, o payload é executado automaticamente. A falha foi reconhecida como CVE-2025-8541.
A seguir, explico os detalhes técnicos, como reproduzir a PoC e os riscos reais envolvidos.

O que é a CVE-2025-8541?

A CVE-2025-8541 descreve uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no endpoint /intranet/public_uf_cad.php da aplicação i-Educar.
A falha permite a injeção de scripts no campo nome, que ficam armazenados no servidor e são executados automaticamente quando a página de listagem /intranet/public_uf_lst.php é carregada.

Detalhes Técnicos

➤ Endpoint vulnerável: /intranet/public_uf_cad.php

➤ Parâmetro afetado: nome

➤ Página de disparo (trigger): /intranet/public_uf_lst.php

➤ Payload Utilizado:

html

<img src=x onerror=alert(1)>

Proof of Concept (PoC)

Para explorar a falha, siga os passos abaixo:

➤ Acesse o endpoint: /intranet/public_uf_cad.php

➤ Selecione o país “Brasil” no primeiro campo (“País”)

➤ Escolha qualquer opção no segundo campo (“Sigla Uf”)

➤ Insira o payload no terceiro campo: Nome

➤ Clique em: “Salvar”

A página /intranet/public_uf_lst.php será carregada automaticamente, executando o XSS:

Parâmetro nome

Impacto

Esta vulnerabilidade de XSS armazenado pode ser explorada para:

• Roubar cookies de sessão (session hijacking)

• Instalar malwares nos dispositivos dos usuários

• Capturar credenciais salvas no navegador

• Redirecionar vítimas para sites maliciosos

• Alterar a interface da aplicação (defacement)

• Obter ou manipular dados sensíveis

• Danificar a reputação institucional

Fontes Oficiais

A vulnerabilidade foi registrada oficialmente como:

Conclusão

A CVE-2025-8541 é mais um exemplo do perigo de não validar corretamente entradas de usuário. Neste caso, mesmo um campo simples como “Nome da UF” pode ser explorado para comprometer a segurança da aplicação e dos usuários.
Recomenda-se atenção redobrada em interfaces administrativas e uso rigoroso de sanitização para todos os campos de entrada, por menores que sejam.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹