CVE-2026-27737

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 BigBlueButton nie escapował pola meetingName w record-and-playback/screenshare/playback/index.html.erb podczas generowania formatu odtwarzania ekranu. Użytkownik z niskimi uprawnieniami mógł zapisać spreparowaną nazwę spotkania zawierającą skrypt, który wykonywał się w przeglądarce innego użytkownika podczas odtwarzania nagrania. Problem naprawiono w wersji 3.0.29.

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 prezenterzy mogli przesłać presentationId przez /api/graphql, które identyfikowało prezentację należącą do innego spotkania. Plik akka-bbb-apps/src/main/scala/org/bigbluebutton/core/apps/presentationpod/RemovePresentationPubMsgHdlr.scala nie weryfikował identyfikatora spotkania przed usunięciem, co pozwalało prezenterowi znającemu identyfikator usunąć prezentację innego spotkania i zakłócić jego dostępność. Problem naprawiono w wersji 3.0.29.

BigBlueButton przed wersją 3.0.23 pozwala uwierzytelnionym moderatorom na wstrzyknięcie SQL przez wartości meetingId i userId używane w metodzie refreshBreakoutRoomsVisibleForUsers. Metoda interpoluje te wartości do zapytań o widoczność pokoi breakout, umożliwiając wykonanie dowolnego SQL na bazie danych aplikacji. Problem naprawiono w wersji 3.0.23.

BigBlueButton przed wersją 3.0.23 udostępnia endpoint /bigbluebutton/api/handleJoinExistingUser, który był routowalną akcją kontrolera zamiast prywatną funkcją pomocniczą. Osoba mogąca podać existingUserID aktywnego uczestnika może ponownie użyć jego sesji i podszyć się pod uczestnika w tym samym spotkaniu. Problem naprawiono w wersji 3.0.23.

BigBlueButton przed wersją 3.0.23 nieprawidłowo ograniczał dostęp do lokalnych adresów sieciowych podczas walidacji URL prezentacji. Logika podążania za przekierowaniami została poprawiona, aby blokować adresy IP z zakresów lokalnych.

W BigBlueButton przed wersją 3.0.21 stwierdzono podatność polegającą na możliwości ominięcia walidacji sumy kontrolnej (checksum) w żądaniach API. Problem występuje, gdy do żądania dodany zostanie parametr presentationUploadExternalUrl, co pozwala na wysyłanie poprawnych żądań do niektórych endpointów bez wymaganej sumy kontrolnej.

BigBlueButton przed wersją 3.0.21 generował tokeny sesji konferencyjnych z niewystarczająco bezpieczną losowością, co umożliwiało użytkownikowi sesji przewidywanie tokenów innych użytkowników i podszywanie się pod nich.

BigBlueButton, otwarte źródło wirtualnej klasy, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach, które pozwalają użytkownikom na podanie URL do pobrania prezentacji bez wcześniejszej walidacji. Wprowadzono aktualizację metody `followRedirect`, aby walidować wszystkie URL-e używane do pobierania prezentacji.