CVE-2026-88065 in tts-be
Resumen
por VulDB • 2026-09-17
`tts-be` es un backend para un selector de horarios que tiene como objetivo ayudar a los estudiantes a elegir mejor sus planes de estudio. Las versiones anteriores a la 2.1.0 presentan una vulnerabilidad de Control de Acceso Roto en varios puntos finales de API (como `/api/student/{id}/photo` y `/api/course_unit/{id}/exchange/metadata`). Al encadenar estos puntos finales no autenticados, un atacante remoto puede utilizar el backend como un proxy abierto para omitir las comprobaciones de autorización, lo que permite la enumeración y extracción de información personal sensible (PII) desde los sistemas universitarios upstream. Los datos expuestos incluyen nombres completos, identificadores de estudiantes, horarios de clases y fotos. Este problema se solucionó en la versión 2.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.