CVE-2026-97702 in Open edX Platform
الملخص
بحسب VulDB • 05/11/2026
تتيح منصة Open edX تأليف وتقديم التعلم عبر الإنترنت على أي نطاق من الحجم. بدءاً من إصدار Ulmo وحتى الإصدارين release/ulmo.4 وrelease/verawood.1، يتطلب نقطة النهاية `/api/support/v1/manage_course_team/` في `CourseTeamManageAPIView` فقط مصادقة المستخدم (`IsAuthenticated`) ويتجاهل فحص التفويض العالمي الخاص بدور الدعم المخصص لسطح واجهة خدمة المساعدة هذا. يمكن لأي متعلم مُصَدَّق تزويد البريد الإلكتروني أو اسم المستخدم أو معرف المستخدم (user_id) المستهدف بشكل تعسفي، واستخدام التباين في استجابات HTTP 200 و404 للتمييز بين الحساب النشط والحساب الغائب أو غير النشط. يمكن للمُتصل الذي يمتلك دور مُدرِّب على مستوى الدورة أو المنظمة الحصول أيضاً على تعيينات المستخدم المستهدف كعضو فريق (staff) أو كمُدَرِّب ضمن نطاق دورة المُتصل أو منظّمته. يظل المتصلون المجهولون محظورين، ويتصرف سلوك PUT المعتمد على تفويض منفصل خارج نطاق هذه الثغرة. تم إصلاح هذه المشكلة في الإصدارين release/ulmo.4 وrelease/verawood.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.