CVE-2025-9720

Como encontrei um XSS armazenado no i-Educar via TabelaArredondamento/edit (com PoC e Capturas de Tela)

🇺🇸 Read in English.

CVE-2025-9720

Introdução

Você consegue imaginar comprometer um sistema apenas preenchendo um único campo de texto? Neste post, mostrarei como uma vulnerabilidade simples no campo "nome" do i-Educar permite que invasores executem scripts maliciosos no navegador de qualquer pessoa que acesse a página — automaticamente e sem qualquer interação.

Após uma investigação completa e divulgação responsável, o problema foi atribuído como CVE-2025-9720.

Neste artigo, compartilho detalhes técnicos, uma PoC passo a passo, capturas de tela e o impacto potencial desta vulnerabilidade.

O que é a CVE-2025-9720?

CVE-2025-9720 refere-se a uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada no endpoint /module/TabelaArredondamento/edit do aplicativo i-Educar. O XSS armazenado ocorre quando entradas maliciosas são armazenadas no servidor e executadas nos navegadores de todos os usuários que carregam a página afetada.

Para CVE-2025-9720, o parâmetro vulnerável é nome. Este campo aceita entradas de usuários não filtradas, permitindo que invasores injetem código JavaScript arbitrário.

Detalhes Técnicos

➤ Endpoint Vulnerável: /module/TabelaArredondamento/edit

➤ Parâmetro Afetado: Nome

➤ Payload Utilizado

html

"><img src=x onerror=alert('CVE-Hunters')>

Proof of Concept (PoC)

Para confirmar a vulnerabilidade, segui estes passos:

➤ Acesse o endpoint: /module/TabelaArredondamento/edit

➤ No segundo campo (“nome”), insira o payload

➤ Clique em “Salvar”

O payload será executado automaticamente após salvar.

Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

• Roubar cookies de sessão (session hijacking);
• Instalar malwares nos dispositivos das vítimas;
• Roubar credenciais salvas no navegador;
• Redirecionar usuários para sites maliciosos;
• Alterar a interface da aplicação (defacement);
• Comprometer a reputação institucional.

Fontes Oficiais

A falha foi reportada eticamente e atribuída como:

Conclusão

Mesmo um único campo de entrada sem validação adequada pode abrir caminho para ataques de alto impacto.

CVE-2025-9720 destaca a importância da sanitização de entradas em todas as etapas do desenvolvimento. Se você trabalha com aplicativos web, é importante revisar cuidadosamente todos os pontos de entrada do usuário.

Descuidos simples como esse podem facilmente passar despercebidos, mas apresentam sérios riscos.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹