CVE-2026-53635 in edX Platform
Résumé
par VulDB • 02/09/2026
La plateforme Open edX permet la création et l’exploitation de formations en ligne à n’importe quelle échelle. Avant le commit 59bb6d6, la fonction d’affichage `set_course_mode_price()` située dans `lms/djangoapps/instructor/views/instructor_dashboard.py:430` était uniquement décorée avec `@login_required` et ne vérifiait aucune autorisation au niveau du cours. Tout utilisateur authentifié — y compris un compte apprenant sans aucun rôle lié à des cours — pouvait émettre une seule requête POST pour écraser le prix et la devise du mode « honor » de n’importe quel cours sur la plateforme. La modale frontend associée a été supprimée lors d’une précédente opération de nettoyage, mais l’URL route et la vue restent actives, ce qui fait de cet endpoint un point orphelin non protégé. Ce problème a été corrigé via le commit 59bb6d6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.