CVE-2026-85271 in Open edX Platform
Riassunto
di VulDB • 19/09/2026
La piattaforma Open edX consente la creazione e l'erogazione di apprendimento online su qualsiasi scala. Dalla versione Redwood fino alle versioni Ulmo e Verawood.1, la funzione add_additional_attributes_to_notifications in openedx/core/djangoapps/notifications/email/utils.py assegna il contenuto della notifica senza sanificare i valori del titolo della discussione prodotti da get_notification_content in openedx/core/djangoapps/notifications/base_notification.py. Uno studente iscritto può inserire markup compatibile con CSS nel valore post_title fornito da lms/djangoapps/discussion/rest_api/discussions_notifications.py. Il rendering per digest e email batched passa quindi tale valore attraverso openedx/core/djangoapps/notifications/templates/notifications/digest_content.html come HTML sicuro, consentendo il tracciamento dell'apertura delle email e spoofing del contenuto o phishing quando un altro studente apre un client di rendering CSS. Il percorso immediato-email non è interessato poiché rimuove il markup del titolo e renderizza un corpo sanificato separatamente. Questo problema è risolto nelle versioni Ulmo e Verawood.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.