CVE-2026-111369
WysokieCVSS 7.1Streszczenie
W ClassroomIO do wersji 1.0.0 występuje podatność nieprawidłowej autoryzacji w trasach PUT i DELETE /:lessonId, która pozwala każdemu członkowi kursu, w tym studentom, modyfikować lekcje. Uwierzytelnieni studenci mogą podawać dowolne identyfikatory lekcji, aby zmieniać tytuły i przechowywaną treść HTML lub usuwać lekcje w swoim kursie oraz w innych kursach i organizacjach.
Ocena ryzyka
Studenci mogą modyfikować lub usuwać treści edukacyjne w dowolnych kursach i organizacjach, co prowadzi do naruszenia integralności danych i może zakłócić proces nauczania. Ryzyko obejmuje nieautoryzowane zmiany w materiałach innych organizacji.
Rekomendacja
Zaktualizuj ClassroomIO do wersji nowszej niż 1.0.0, jeśli jest dostępna, lub wdróż poprawki autoryzacji sprawdzające przynależność do kursu i organizacji. Ogranicz uprawnienia studentów do operacji modyfikacji lekcji.
Inne podatności w ClassroomIO
Zobacz wszystkie- CVE-2026-111368Średnie
ClassroomIO w wersji do 1.0.0 zawiera podatność typu insecure direct object reference w trasach API Hono dotyczących zgłoszeń kursowych, która pozwala tutorom lub administratorom kursu modyfikować zgłoszenia w innych kursach. Atakujący może podać własny identyfikator kursu wraz z UUID zgłoszenia z innego kursu do handlerów PUT lub DELETE, aby nadpisać odpowiedzi, oceny, opinie i status oceniania albo usunąć zgłoszenia.
- CVE-2025-65669Krytyczne
W classroomio 0.1.13 konta studentów mogą usuwać kursy ze strony Explore bez żadnych kontroli autoryzacji lub uwierzytelniania, omijając oczekiwane ograniczenie usuwania tylko dla administratorów.
- CVE-2025-65670Średnie
W classroomio 0.1.13 wykryto podatność IDOR, która umożliwia studentom dostęp do wrażliwych endpointów administratora/nauczyciela poprzez manipulację identyfikatorami kursów w URL. Prowadzi to do chwilowego ujawnienia poufnych danych kursów, administratorów i studentów, zanim system przywróci normalne ograniczenia dostępu.
- CVE-2025-65672Wysokie
W systemie classroomio w wersji 0.1.13 wykryto podatność IDOR, która umożliwia nieautoryzowany dostęp do udostępniania i zapraszania do ustawień kursu.
Oryginalny opis (angielski, źródło NVD)
ClassroomIO through 1.0.0 contains an incorrect authorization vulnerability in the PUT and DELETE /:lessonId lesson routes that allows any course member, including students, to modify lessons. Authenticated students can supply arbitrary lesson ids to change titles and stored HTML content or delete lessons in their course and in other courses and organizations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS