CVE-2025-8545

XSS Armazenado no i-Educar via educar_motivo_afastamento_cad.php (Com PoC e Screenshots)

🇺🇸 Read in English.

CVE-2025-8545

Introdução

Durante a análise do módulo de gestão de afastamentos no sistema i-Educar, foi identificada uma vulnerabilidade de XSS armazenado no endpoint /intranet/educar_motivo_afastamento_cad.php. O parâmetro nm_motivo — utilizado para registrar o motivo de afastamento de um servidor — permite a injeção de scripts maliciosos sem qualquer validação.
Esses scripts são armazenados no banco de dados e executados automaticamente quando a página de listagem correspondente é acessada.
Neste post, compartilho os detalhes técnicos, passo a passo da exploração (PoC), evidências visuais e os potenciais impactos de segurança associados à falha.

O que é a CVE-2025-8545?

A CVE-2025-8545 trata de uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no endpoint /intranet/educar_motivo_afastamento_cad.php da aplicação i-Educar.
O parâmetro nm_motivo aceita entrada de dados sem sanitização adequada, permitindo que scripts maliciosos sejam persistidos no sistema. A execução do payload ocorre automaticamente na página /intranet/educar_motivo_afastamento_lst.php, afetando qualquer usuário que acesse essa área.

Detalhes Técnicos

➤ Endpoint vulnerável: /intranet/educar_motivo_afastamento_cad.php

➤ Parâmetro afetado: nm_motivo

➤ Página de disparo (trigger): /intranet/educar_motivo_afastamento_lst.php

➤ Payload Utilizado:

html

"><img src=x onerror=alert('CVE-Hunters')>

Proof of Concept (PoC)

Para reproduzir a vulnerabilidade:

➤ Acesse o endpoint: /intranet/educar_motivo_afastamento_cad.php

➤ Selecione a opção padrão no campo “Instituição”

➤ Insira o payload no segundo campo: “Motivo de Afastamento”

➤ Clique em: “Salvar”

A página /intranet/educar_motivo_afastamento_lst.php será carregada automaticamente e o script malicioso será executado:

Parâmetro nm_motivo

Impacto

Esta vulnerabilidade de XSS armazenado pode ser explorada para:

• Roubar cookies de sessão (session hijacking)

• Instalar malwares nos dispositivos dos usuários

• Capturar credenciais salvas no navegador

• Redirecionar vítimas para sites maliciosos

• Alterar a interface da aplicação (defacement)

• Obter ou manipular dados sensíveis

• Danificar a reputação institucional

Fontes Oficiais

A falha foi reportada de forma ética e registrada como:

Conclusão

A CVE-2025-8545b> é um exemplo claro de como até campos aparentemente inofensivos — como o motivo de afastamento — podem se tornar vetores de ataque se não forem validados corretamente.
Sistemas educacionais lidam com dados sensíveis e precisam implementar práticas de desenvolvimento seguro em toda a aplicação, garantindo que qualquer entrada do usuário seja tratada com a devida cautela.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹