CVE-2026-93014
Vulnérabilité élevée dans RosarioSIS (RosarioSIS)
CVSS 7.1 · Élevée
EPSS 0.5%
RosarioSIS•RosarioSIS•Versions : 0, <12.9
Description
RosarioSIS versions before 12.9 fail to validate the filename request parameter in Users and Students modules, allowing authenticated users to unlink allow-listed files via path traversal. Attackers can use parent-directory sequences to escape upload directories and delete CSS, XML, JSON resources and other users' documents throughout the installation.
Gravité et risque d'exploitation
CVE-2026-93014 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.50 %, ce qui la place devant 41.5 % des CVE référencées.
Que faire ?
- Vérifiez si RosarioSIS (versions 0, <12.9) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://gist.github.com/kazisabu/68bd095bc05b2341db318a063e05e644
- https://gitlab.com/francoisjacquet/rosariosis/-/commit/701f9c07330157181362927a40d4f8dcc8094d90
- https://gitlab.com/francoisjacquet/rosariosis
- https://www.vulncheck.com/advisories/rosariosis-before-12.9-path-traversal-in-file-deletion-via-filename-parameter