# CVE-2025-8539


Como Encontrei um XSS Armazenado no i-Educar em public_distrito_cad.php (Com PoC e Screenshots)

<!--more-->

> ***🇺🇸 Read in [English](http://karinagante.github.io/cve-2025-8539/).***

## CVE-2025-8539

### Introdução

<p align="justify">Durante a análise contínua do projeto <b><a href="https://github.com/portabilis/i-educar" target=_blank>i-Educar</a></b>, identifiquei mais uma vulnerabilidade: desta vez, um XSS armazenado no endpoint <b>/intranet/public_distrito_cad.php</b>. O campo <b>nome</b> não realiza a devida sanitização dos dados, permitindo a injeção de scripts maliciosos que são executados automaticamente na listagem dos distritos. </br> Após investigação completa, a falha foi reconhecida como <b><a href="https://www.cve.org/CVERecord?id=CVE-2025-8539" target=_blank>CVE-2025-8539</a></b>. </br> Neste artigo, compartilho detalhes técnicos, passo a passo da PoC, screenshots e o impacto que essa falha representa para a aplicação. </p>

### O que é a CVE-2025-8539?

<p align="justify">A <b><a href="https://www.cve.org/CVERecord?id=CVE-2025-8539" target=_blank>CVE-2025-8539</a></b> descreve uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no endpoint <b>/intranet/public_distrito_cad.php</b> do <b><a href="https://github.com/portabilis/i-educar" target=_blank>i-Educar</a></b>. </br> O problema ocorre no parâmetro <b>nome</b>, que permite a inserção de scripts maliciosos sem qualquer validação. </br> Esses scripts ficam salvos no servidor e são executados automaticamente ao acessar a página de listagem: <b>/intranet/public_distrito_lst.php</b>. </p>

### Detalhes Técnicos

➤ **Endpoint vulnerável:** `/intranet/public_distrito_cad.php`

➤ **Parâmetro afetado:** `nome`

➤ **Página de disparo (trigger):** `/intranet/public_distrito_lst.php`

> ➤ **Payload usado:** 
> ```html
>"><img src=x onerror=alert('CVE-Hunters')>
>```

### Proof of Concept (PoC)

Para comprovar a vulnerabilidade, realizei os seguintes passos:

➤ **Acesse o endpoint:** `/intranet/public_distrito_cad.php`

➤ **Insira o payload acima no campo:** `Nome`

➤ **Clique em:** “Salvar”

> A página `/intranet/public_distrito_lst.php` será carregada automaticamente, disparando o XSS:

<p align="center">
<img src="/images/CVE-2025-8539/PoC1.png">
</p>

|   Parâmetro `nome`         |
|:------------:|
| ![](/images/CVE-2025-8539/PoC2.png)    |

{{< admonition tip Relatório >}} 
Você pode acessar o relatório completo e ver todo passo a passo por aqui:

{{< fa-icon regular github >}} 
***[Relatório CVE-2025-8539](https://github.com/KarinaGante/KGSec/blob/main/CVEs/i-educar/CVE-2025-8539.md)***
{{< /admonition >}}

### Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

- Roubar cookies de sessão (session hijacking);
- Instalar malwares nos dispositivos das vítimas;
- Roubar credenciais salvas no navegador;
- Redirecionar usuários para sites maliciosos;
- Alterar a interface da aplicação (defacement);
- Comprometer a reputação institucional.

### Fontes Oficiais

A falha foi reportada eticamente e atribuída como:

{{< admonition important Referências>}} 
{{< fa-icon regular shield >}} 
***[CVE-2025-8539 no CVE.org](https://www.cve.org/CVERecord?id=CVE-2025-8539)***

{{< fa-icon regular database >}} 
***[Entrada no VulDB](https://vuldb.com/?id.318668)***
{{< /admonition >}}

### Conclusão

<p align="justify">Mesmo um único campo sem validação pode se tornar uma porta de entrada para ataques com potencial alto de impacto. A <b><a href="https://www.cve.org/CVERecord?id=CVE-2025-8539" target=_blank>CVE-2025-8539</a></b> reforça a importância da validação e sanitização de inputs em todas as etapas do desenvolvimento. </br> Se você trabalha com aplicações web, especialmente sistemas que lidam com dados públicos ou educacionais, é essencial revisar cada ponto de entrada do usuário com cuidado. </br> Falhas simples, como essa, podem passar despercebidas — <b>mas representam riscos reais.</b></p>

## Créditos

***Descoberto com💜 por [Karina Gante](https://karinagante.github.io/).*** 

[![LinkedIn](https://skillicons.dev/icons?i=linkedin&theme=dark)](https://www.linkedin.com/in/karina-gante/)
[![GitHub](https://skillicons.dev/icons?i=github&theme=dark)](https://www.github.com/KarinaGante/)
[![gmail](https://skillicons.dev/icons?i=gmail&theme=dark)](mailto:karina.g@aluno.ifsp.edu.br)
[![Instagram](https://skillicons.dev/icons?i=instagram&theme=dark)](https://www.instagram.com/karinovisk02/)

> ***Membro Oficial do [CVE-Hunters](https://www.cvehunters.com/)🏹***



