https://alertas.dupin.com.ar/fabricante/francoisjacquet/Alertas de vulnerabilidades de francoisjacquet.esWed, 04 Nov 2026 00:28:00 +000010https://alertas.dupin.com.ar/cve/CVE-2026-121731/tg:63092Wed, 04 Nov 2026 00:28:00 +0000VulnerabilidadRosarioSIS antes de 12.9 contiene una vulnerabilidad de inyección SQL que permite a usuarios autenticados no estudiantes, incluidos padres, inyectar SQL mediante el parámetro period_id sin comillas en StudentSummary.php. Pueden enviar payloads sin comillas simples en cláusulas IN() para extraer hashes de contraseñas de administradores y registros de estudiantes mediante consultas basadas en tiempo, o modificar datos con sentencias apiladas.https://alertas.dupin.com.ar/cve/CVE-2026-121732/tg:63090Wed, 04 Nov 2026 00:27:56 +0000VulnerabilidadRosarioSIS antes de 12.9 contiene una vulnerabilidad de autorización inadecuada que permite a administradores con alcance de una escuela asignar cuotas y pagos a estudiantes de otras escuelas mediante MassAssignFees.php y MassAssignPayments.php. Pueden sustituir IDs de estudiantes ajenos en el array POST student[] de una solicitud modfunc=save para alterar los saldos de facturación de otras escuelas, rompiendo el aislamiento entre escuelas.https://alertas.dupin.com.ar/cve/CVE-2026-116010/tg:61029Sat, 24 Oct 2026 14:20:57 +0000VulnerabilidadRosarioSIS, en versiones anteriores a la 12.9.1, carece de autorización y permite a docentes autenticados escribir registros de estudiantes fuera de su período de curso indicando IDs arbitrarios. Pueden modificar los arreglos POST st_arr, values o attendance en MakeReferral.php, EnterEligibility.php, InputFinalGrades.php y TakeAttendance.php para crear derivaciones, códigos de elegibilidad, asistencias y calificaciones finales de cualquier estudiante de la escuela.