CVE-2025-9738

XSS Armazenado no i-Educar via educar_tipo_ensino_cad.php (Com PoC e Screenshots)

🇺🇸 Read in English.

CVE-2025-9738

Introdução

Ao revisar mais uma seção do projeto i-Educar, identifiquei outra ocorrência de XSS armazenado — desta vez no endpoint /intranet/educar_tipo_ensino_cad.php. A falha está presente no parâmetro nm_tipo, que não realiza a devida sanitização dos dados inseridos pelo usuário, permitindo que scripts sejam armazenados e executados automaticamente na tela de listagem.
Após o processo de validação e reporte responsável, a vulnerabilidade foi registrada como CVE-2025-9738.
Neste post, compartilho todos os detalhes técnicos, passo a passo da exploração e os riscos reais dessa falha em ambiente de produção.

O que é a CVE-2025-9738?

A CVE-2025-9738 descreve uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no endpoint /intranet/educar_tipo_ensino_cad.php do i-Educar.
O problema ocorre no parâmetro nm_tipo, que armazena os dados inseridos sem qualquer validação.
O código malicioso é executado automaticamente sempre que usuários acessam a página de listagem: /intranet/educar_tipo_ensino_lst.php.

Detalhes Técnicos

➤ Endpoint vulnerável: /intranet/educar_tipo_ensino_cad.php

➤ Parâmetro afetado: nm_tipo

➤ Página de disparo (trigger): /intranet/educar_tipo_ensino_lst.php

➤ Payload Utilizado:

html

"><img src=x onerror=alert('CVE-Hunters')>

Proof of Concept (PoC)

Para comprovar a falha, realizei os seguintes passos:

➤ Acesse o endpoint: /intranet/educar_tipo_ensino_cad.php e selecione a opção padrão no primeiro campo.

➤ Insira o payload no segundo campo: Tipo de Ensino

➤ Clique em: “Salvar”

A página /intranet/educar_tipo_ensino_lst.php será carregada automaticamente, e o XSS será executado:

Parameter nm_tipo

Impacto

Esta vulnerabilidade de XSS armazenado pode ser explorada para:

• Roubar cookies de sessão (session hijacking)

• Instalar malwares nos dispositivos dos usuários

• Capturar credenciais salvas no navegador

• Redirecionar vítimas para sites maliciosos

• Alterar a interface da aplicação (defacement)

• Obter ou manipular dados sensíveis

• Danificar a reputação institucional

Fontes Oficiais

A falha foi reportada de forma ética e registrada como:

Conclusão

Mais uma vez, um único campo sem validação adequada representa uma brecha. A CVE-2025-9738 reforça a importância de validar todos os dados de entrada — especialmente em áreas administrativas de sistemas web.
Se você trabalha com plataformas que lidam com dados públicos, educacionais ou informações sensíveis, revise todos os pontos de entrada do usuário com atenção. Vulnerabilidades como essa podem passar despercebidas, mas têm potencial para causar sérios danos.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹