CVE-2026-77008
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie ma żadnej kontroli autoryzacji ani uwierzytelniania podczas zapisywania swoich ustawień. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie ustawień i przekierowanie wszystkich klas online oraz wspólnego sekretu używanego do podpisywania sesji na infrastrukturę wybraną przez atakującego.
Ocena ryzyka
Atakujący może przejąć kontrolę nad wszystkimi sesjami online, przekierowując je na własną infrastrukturę, co może prowadzić do przechwycenia danych i naruszenia integralności spotkań.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, jeśli dostępna, lub usuń ją, jeśli nie jest niezbędna. Dodatkowo ogranicz dostęp do panelu administracyjnego i monitoruj zmiany w ustawieniach wtyczki.
Inne podatności w HEL Online Classroom
Zobacz wszystkie- CVE-2026-77010Średnie
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza kontroli autoryzacji na swoich trasach REST API i nie egzekwuje konsekwentnie kodu dostępu do klasy. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie podpisanego linku do dołączenia do spotkania dla dowolnej klasy, w tym chronionej kodem dostępu, oraz dołączenie z uprawnieniami moderatora.
- CVE-2026-77007Wysokie
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza żadnej kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień, w tym wspólnego sekretu używanego do podpisywania żądań API do połączonego serwera BigBlueButton.
Oryginalny opis (angielski, źródło NVD)
The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not have any authorisation or authentication check when saving its settings, allowing unauthenticated users to overwrite them and repoint every online classroom, along with the shared secret those sessions are signed with, at infrastructure of their choosing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS