CVE-2025-65669
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W classroomio 0.1.13 konta studentów mogą usuwać kursy ze strony Explore bez żadnych kontroli autoryzacji lub uwierzytelniania, omijając oczekiwane ograniczenie usuwania tylko dla administratorów.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowani użytkownicy (studenci) mogą trwale usuwać kursy, co prowadzi do utraty danych i zakłócenia działania platformy edukacyjnej.
Rekomendacja
Należy natychmiast zaktualizować classroomio do najnowszej wersji, która zawiera poprawkę usuwającą tę lukę, oraz wdrożyć odpowiednie kontrole dostępu dla operacji usuwania kursów.
Inne podatności w classroomio
Zobacz wszystkie- CVE-2025-65670Średnie
W classroomio 0.1.13 wykryto podatność IDOR, która umożliwia studentom dostęp do wrażliwych endpointów administratora/nauczyciela poprzez manipulację identyfikatorami kursów w URL. Prowadzi to do chwilowego ujawnienia poufnych danych kursów, administratorów i studentów, zanim system przywróci normalne ograniczenia dostępu.
- CVE-2025-65672Wysokie
W systemie classroomio w wersji 0.1.13 wykryto podatność IDOR, która umożliwia nieautoryzowany dostęp do udostępniania i zapraszania do ustawień kursu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS