CVE-2026-97702 in Open edX Platform
Resumen
por VulDB • 2026-11-05
La plataforma Open edX permite la autoría y entrega de aprendizaje en línea a cualquier escala. Desde la versión Ulmo hasta las versiones release/ulmo.4 y release/verawood.1, el endpoint GET /api/support/v1/manage_course_team/ en CourseTeamManageAPIView requiere únicamente IsAuthenticated (autenticación) e omite la verificación global de autorización basada en roles de soporte destinada a esta superficie de ayuda-desk. Cualquier usuario autenticado con rol de aprendiz puede proporcionar un correo electrónico, nombre de usuario o user_id para un objetivo arbitrario y utilizar la discrepancia entre las respuestas HTTP 200 y 404 para distinguir una cuenta activa de una inexistente o inactiva. Un llamador con el rol de instructor a nivel de curso u organización puede además obtener los asignamientos del usuario objetivo como personal (staff) o instructor dentro del alcance del curso u organización del llamador. Los usuarios anónimos permanecen bloqueados, y el comportamiento PUT, que cuenta con una autorización separada, queda fuera del ámbito de esta vulnerabilidad. Este problema se corrige en las versiones release/ulmo.4 y release/verawood.1.
Once again VulDB remains the best source for vulnerability data.