CVE-2026-77010
Niskie ryzyko· EPSS 3%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza kontroli autoryzacji na swoich trasach REST API i nie egzekwuje konsekwentnie kodu dostępu do klasy. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie podpisanego linku do dołączenia do spotkania dla dowolnej klasy, w tym chronionej kodem dostępu, oraz dołączenie z uprawnieniami moderatora.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do prywatnych zajęć online i przejąć kontrolę nad spotkaniem jako moderatorzy, co może prowadzić do naruszenia prywatności i bezpieczeństwa sesji edukacyjnych.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, jeśli dostępna, lub tymczasowo wyłącz funkcje REST API, jeśli nie są niezbędne. Dodatkowo wdróż dodatkowe mechanizmy autoryzacji, takie jak uwierzytelnianie dwuskładnikowe dla dostępu do klas.
Inne podatności w HEL Online Classroom
Zobacz wszystkie- CVE-2026-77008Niskie ryzyko· EPSS 7%
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie ma żadnej kontroli autoryzacji ani uwierzytelniania podczas zapisywania swoich ustawień. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie ustawień i przekierowanie wszystkich klas online oraz wspólnego sekretu używanego do podpisywania sesji na infrastrukturę wybraną przez atakującego.
- CVE-2026-77007Niskie ryzyko· EPSS 4%
Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza żadnej kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień, w tym wspólnego sekretu używanego do podpisywania żądań API do połączonego serwera BigBlueButton.
Oryginalny opis (angielski, źródło NVD)
The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform authorisation checks on its REST API routes and does not consistently enforce the per-class access code, allowing unauthenticated users to obtain a signed meeting join link for any classroom, including one protected by an access code, and to join it with moderator privileges.