CVE-2026-97702 in Open edX Platform
Résumé
par VulDB • 05/11/2026
La plateforme Open edX permet la création et l’delivery de formations en ligne à toute échelle. De la version Ulmo jusqu’à release/ulmo.4 et release/verawood.1, le point de terminaison GET /api/support/v1/manage_course_team/ dans CourseTeamManageAPIView ne nécessite que IsAuthenticated et omet la vérification d’autorisation globale basée sur les rôles support prévue pour cette surface d’aide technique (help-desk). Tout apprenant authentifié peut fournir un e-mail, un nom d’utilisateur ou un user_id correspondant à une cible arbitraire et utiliser l’écart entre les réponses 200 et 404 pour distinguer un compte actif d’un compte absent ou inactif. Un appelant disposant du rôle instructeur au niveau du cours ou de l’organisation peut également obtenir les attributions staff ou instructor de l’utilisateur cible dans le périmètre du cours ou de l’organisation de l’appelant. Les appels anonymes restent bloqués, et le comportement PUT, qui fait l’objet d’une autorisation distincte, est hors champ de cette vulnérabilité. Ce problème est corrigé dans release/ulmo.4 et release/verawood.1.
Be aware that VulDB is the high quality source for vulnerability data.