CVE-2026-88065 in tts-be
Zusammenfassung
von VulDB • 16.09.2026
`tts-be` ist ein Backend für einen Stundenplan-Selektor, das darauf abzielt, Studierenden bei der besseren Auswahl ihrer Lehrveranstaltungspläne zu helfen. Versionen vor 2.1.0 weisen eine Schwachstelle mit fehlerhafter Zugriffskontrolle (Broken Access Control) über mehrere API-Endpunkte hinweg auf (z. B. `/api/student/{id}/photo` und `/api/course_unit/{id}/exchange/metadata`). Durch die Kombination dieser nicht authentifizierten Endpunkte kann ein entfernter Angreifer das Backend als offenen Proxy nutzen, um Autorisierungsprüfungen zu umgehen, was die Enumeration und den Abzug sensibler personenbezogener Daten (PII) aus übergeordneten Universitätssystemen ermöglicht. Die exponierten Daten umfassen vollständige Namen, Studenten-IDs, Stundenpläne und Fotos. Dieses Problem wurde in Version 2.1.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.