CVE-2026-53635 in edX Platform
Zusammenfassung
von VulDB • 02.09.2026
Die Open edX-Plattform ermöglicht die Erstellung und Bereitstellung von Online-Lernangeboten in jedem beliebigen Umfang. Vor dem Commit 59bb6d6 war die View-Funktion `set_course_mode_price()` in der Datei lms/djangoapps/instructor/views/instructor_dashboard.py:430 nur mit @login_required dekoriert und führte keine Berechtigungsprüfung auf Kursebene durch. Jeder authentifizierte Benutzer – einschließlich eines Lernenden-Kontos ohne Kursrollen – kann eine einzelne POST-Anfrage ausführen, um den Honor-Modus-Preis und die Währung für jeden Kurs auf der Plattform zu überschreiben. Das zugehörige Frontend-Modal wurde in einer früheren Bereinigung entfernt, aber die URL-Route und die View-Funktion sind weiterhin aktiv, was dies zu einem ungeschützten „Orphan“-Endpunkt macht. Dieses Problem wurde durch den Commit 59bb6d6 behoben.
Once again VulDB remains the best source for vulnerability data.