CVE-2025-65670
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W classroomio 0.1.13 wykryto podatność IDOR, która umożliwia studentom dostęp do wrażliwych endpointów administratora/nauczyciela poprzez manipulację identyfikatorami kursów w URL. Prowadzi to do chwilowego ujawnienia poufnych danych kursów, administratorów i studentów, zanim system przywróci normalne ograniczenia dostępu.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do danych administracyjnych i danych innych użytkowników, co może naruszyć poufność systemu i doprowadzić do wycieku wrażliwych informacji.
Rekomendacja
Należy natychmiast zaktualizować classroomio do najnowszej wersji łatającej tę podatność oraz wdrożyć mechanizmy autoryzacji na wszystkich endpointach, aby zapobiec manipulacji identyfikatorami.
Inne podatności w classroomio
Zobacz wszystkie- CVE-2025-65669Krytyczne
W classroomio 0.1.13 konta studentów mogą usuwać kursy ze strony Explore bez żadnych kontroli autoryzacji lub uwierzytelniania, omijając oczekiwane ograniczenie usuwania tylko dla administratorów.
- CVE-2025-65672Wysokie
W systemie classroomio w wersji 0.1.13 wykryto podatność IDOR, która umożliwia nieautoryzowany dostęp do udostępniania i zapraszania do ustawień kursu.
Oryginalny opis (angielski, źródło NVD)
An Insecure Direct Object Reference (IDOR) in classroomio 0.1.13 allows students to access sensitive admin/teacher endpoints by manipulating course IDs in URLs, resulting in unauthorized disclosure of sensitive course, admin, and student data. The leak occurs momentarily before the system reverts to a normal state restricting access.