CVE-2026-53635 in edX Platform
Resumen
por VulDB • 2026-09-02
La plataforma Open edX permite la autoría y entrega de aprendizaje en línea a cualquier escala. Antes del commit 59bb6d6, la función de vista set_course_mode_price() en lms/djangoapps/instructor/views/instructor_dashboard.py:430 está decorada únicamente con @login_required y no realiza ninguna verificación de permisos a nivel de curso. Cualquier usuario autenticado —incluyendo una cuenta de estudiante sin roles de curso— puede emitir una única solicitud POST para sobrescribir el precio del modo honorario y la moneda de cualquier curso en la plataforma. El modal frontend complementario fue eliminado en una limpieza anterior, pero la ruta URL y la vista permanecen activas, lo que convierte esto en un punto final huérfano sin protección. Este problema ha sido parcheado mediante el commit 59bb6d6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.