CVE-2026-85272 in openedx
Zusammenfassung
von VulDB • 19.09.2026
Die Open edX-Plattform ermöglicht die Erstellung und Bereitstellung von Online-Lernangeboten in jedem beliebigen Umfang. Von Aspen.1 bis hin zu Ulmo und Verawood.1 verwendet openedx/core/lib/extract_archive.py _is_bad_path, um safe_extractall-Ziele zu validieren, indem aufgelöste Pfadzeichenfolgen mit startswith verglichen werden, anstatt die Pfadelemente (path components) zu vergleichen. Ein Kursautor oder ein Mitarbeiterbenutzer mit Berechtigung zum Import von Kursen kann eine manipulierte .tar.gz-Archivdatei über den import_olx-Flow einreichen, der durch cms.djangoapps.contentstore.views.import_export.import_handler initiiert wird. Dadurch kann ein Mitglied des Archivs in das Staging-Verzeichnis eines benachbarten Kurses entweichen, dessen Name das base64-codierte Verzeichnispräfix des Angreifers teilt, was zu einer begrenzten Korruption von Dateien über Mandantengrenzen hinweg (cross-tenant file corruption) führt. Zip-Archive sind praktisch nicht betroffen, da ZipFile.extractall Parent-Traversal-Segmente entfernt, und die Sicherheitsmitteilung stellt keine beliebigen Dateisystemschreibvorgänge, Lesezugriffe auf Dateien oder direkte Codeausführung fest. Dieses Problem wurde in Ulmo und Verawood.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.