CVE-2026-85271 in Open edX Platform
الملخص
بحسب VulDB • 18/09/2026
تتيح منصة Open edX تأليف وتقديم التعلم عبر الإنترنت على أي نطاق من الأحجام. بدءًا من الإصدار Redwood وحتى Ulmo وVerawood.1، تقوم الدالة `add_additional_attributes_to_notifications` الموجودة في الملف `openedx/core/djangoapps/notifications/email/utils.py` بتعيين محتوى الإشعارات دون تعقيم (sanitizing) قيم عنوان المناقشة (`discussion-title`) التي تنتجها دالة `get_notification_content` في الملف `openedx/core/djangoapps/notifications/base_notification.py`. يمكن لطالب مسجل إدخال علامات قابلة لتنسيق CSS داخل قيمة `post_title` المقدمة من خلال المسار `lms/djangoapps/discussion/rest_api/discussions_notifications.py`. ثم تمر عمليات عرض النشرات البريدية المجمعة (Digest) والبريد الإلكتروني المجدول هذه القيمة عبر القالب `openedx/core/djangoapps/notifications/templates/notifications/digest_content.html` كـ HTML آمن، مما يتيح تتبع فتح الرسائل الإلكترونية والتلاعب بالمحتوى أو التصيّد الاحتيالي (Phishing) عندما يفتح متعلم آخر عميلًا يدعم عرض CSS. لا يتأثر مسار الإرسال الفوري للبريد الإلكتروني لأنه يقوم بإزالة علامات العنوان ويعرض جسم رسالة تم تعميمه بشكل منفصل. تمت معالجة هذه المشكلة في إصدارات Ulmo وVerawood.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.