CVE-2026-77007
Niskie ryzyko· EPSS 4%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza żadnej kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień, w tym wspólnego sekretu używanego do podpisywania żądań API do połączonego serwera BigBlueButton.
Ocena ryzyka
Ujawnienie wspólnego sekretu może pozwolić atakującemu na podszywanie się pod serwer i manipulowanie sesjami BigBlueButton, co może prowadzić do nieautoryzowanego dostępu do spotkań.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, jeśli dostępna, lub tymczasowo wyłącz trasę REST API, która ujawnia ustawienia. Dodatkowo zmień wspólny sekret i monitoruj logi pod kątem nieautoryzowanych żądań.
Inne podatności w HEL Online Classroom
Zobacz wszystkie- CVE-2026-77010Niskie ryzyko· EPSS 3%
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza kontroli autoryzacji na swoich trasach REST API i nie egzekwuje konsekwentnie kodu dostępu do klasy. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie podpisanego linku do dołączenia do spotkania dla dowolnej klasy, w tym chronionej kodem dostępu, oraz dołączenie z uprawnieniami moderatora.
- CVE-2026-77008Niskie ryzyko· EPSS 7%
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie ma żadnej kontroli autoryzacji ani uwierzytelniania podczas zapisywania swoich ustawień. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie ustawień i przekierowanie wszystkich klas online oraz wspólnego sekretu używanego do podpisywania sesji na infrastrukturę wybraną przez atakującego.
Oryginalny opis (angielski, źródło NVD)
The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform any authorisation check on one of its REST API routes, allowing unauthenticated users to retrieve its stored settings, including the shared secret used to sign API requests to the connected BigBlueButton server.