CVE-2025-9652

Como Descobri Múltiplas Falhas de XSS Armazenado no i-Educar (Com PoC e Screenshots).

🇺🇸 Read in English.

CVE-2025-9652

Introdução

Durante a análise da funcionalidade de cadastro de empresas no sistema i-Educar, encontrei múltiplas vulnerabilidades de XSS armazenado no endpoint /intranet/educar_transferencia_tipo_cad.php. Os campos nm_tipo e desc_tipo permitiam a injeção de código malicioso sem qualquer tipo de validação.
Ao acessar a listagem de empresas, o script malicioso era executado automaticamente. A falha foi reconhecida oficialmente como CVE-2025-9652.
Neste post, mostro todos os detalhes técnicos, passo a passo da exploração e os riscos que esse tipo de falha representa.

O que é a CVE-2025-9652?

A CVE-2025-9652 trata de duas vulnerabilidades de Cross-Site Scripting (XSS) armazenado no endpoint /intranet/educar_transferencia_tipo_cad.php do i-Educar.
Os parâmetros nm_tipo e desc_tipo não são devidamente sanitizados, permitindo que scripts maliciosos sejam salvos no servidor e executados automaticamente ao acessar a página /intranet/educar_transferencia_tipo_lst.php.

Detalhes Técnicos

➤ Endpoint vulnerável: /intranet/educar_transferencia_tipo_cad.php

➤ Parâmetros afetados: nm_tipo e desc_tipo

➤ Página de disparo (trigger): /intranet/educar_transferencia_tipo_lst.php

➤ Outro Endpoint Afetado: /intranet/educar_transferencia_tipo_det.php?cod_transferencia_tipo=[id]

➤ Payload usado:

html

"><img src=x onerror=alert('CVE-Hunters')>

Proof of Concept (PoC)

Para reproduzir a vulnerabilidade, siga os seguintes passos:

1. Acesse o endpoint vulnerável.
2. Selecione a opção padrão no primeiro campo.
3. Insira o payload no segundo campo ("Motivo Transferência") e no terceiro campo ("Descrição").
4. Clique em "Salvar".

A página /intranet/educar_transferencia_tipo_lst.php será carregada automaticamente e o script será executado:

Parâmetro nm_tipo	Parâmetro desc_tipo

Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

• Roubar cookies de sessão (session hijacking);
• Instalar malwares nos dispositivos das vítimas;
• Roubar credenciais salvas no navegador;
• Redirecionar usuários para sites maliciosos;
• Alterar a interface da aplicação (defacement);
• Comprometer a reputação institucional.

Fontes Oficiais

A falha foi reportada de forma responsável e atribuída como:

Conclusão

A CVE-2025-9652 demonstra que falhas de XSS podem estar presentes mesmo em campos que parecem inofensivos, como nomes de empresas. Quando esses dados são refletidos em interfaces administrativas sem tratamento adequado, o risco de exploração aumenta.
Validar todos os dados de entrada — inclusive campos de texto aparentemente simples — é uma prática essencial para manter aplicações web seguras.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹