CVE-2026-46353

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 BigBlueButton nie escapował pola meetingName w record-and-playback/screenshare/playback/index.html.erb podczas generowania formatu odtwarzania ekranu. Użytkownik z niskimi uprawnieniami mógł zapisać spreparowaną nazwę spotkania zawierającą skrypt, który wykonywał się w przeglądarce innego użytkownika podczas odtwarzania nagrania. Problem naprawiono w wersji 3.0.29.

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 prezenterzy mogli przesłać presentationId przez /api/graphql, które identyfikowało prezentację należącą do innego spotkania. Plik akka-bbb-apps/src/main/scala/org/bigbluebutton/core/apps/presentationpod/RemovePresentationPubMsgHdlr.scala nie weryfikował identyfikatora spotkania przed usunięciem, co pozwalało prezenterowi znającemu identyfikator usunąć prezentację innego spotkania i zakłócić jego dostępność. Problem naprawiono w wersji 3.0.29.

BigBlueButton przed wersją 3.0.23 pozwala uwierzytelnionym moderatorom na wstrzyknięcie SQL przez wartości meetingId i userId używane w metodzie refreshBreakoutRoomsVisibleForUsers. Metoda interpoluje te wartości do zapytań o widoczność pokoi breakout, umożliwiając wykonanie dowolnego SQL na bazie danych aplikacji. Problem naprawiono w wersji 3.0.23.

BigBlueButton przed wersją 3.0.23 udostępnia endpoint /bigbluebutton/api/handleJoinExistingUser, który był routowalną akcją kontrolera zamiast prywatną funkcją pomocniczą. Osoba mogąca podać existingUserID aktywnego uczestnika może ponownie użyć jego sesji i podszyć się pod uczestnika w tym samym spotkaniu. Problem naprawiono w wersji 3.0.23.

BigBlueButton przed wersją 3.0.23 nieprawidłowo ograniczał dostęp do lokalnych adresów sieciowych podczas walidacji URL prezentacji. Logika podążania za przekierowaniami została poprawiona, aby blokować adresy IP z zakresów lokalnych.

BigBlueButton przed wersją 3.0.21 generował tokeny sesji konferencyjnych z niewystarczająco bezpieczną losowością, co umożliwiało użytkownikowi sesji przewidywanie tokenów innych użytkowników i podszywanie się pod nich.

BigBlueButton przed wersją 3.0.19 nie sanityzuje danych wejściowych użytkownika w publicznym czacie podczas odtwarzania nagrań. Pozwala to złośliwemu aktorowi na przeprowadzenie ataku XSS, który aktywuje się u każdego odtwarzającego nagranie. Problem został naprawiony w wersji 3.0.19.

BigBlueButton, otwarte źródło wirtualnej klasy, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach, które pozwalają użytkownikom na podanie URL do pobrania prezentacji bez wcześniejszej walidacji. Wprowadzono aktualizację metody `followRedirect`, aby walidować wszystkie URL-e używane do pobierania prezentacji.