CVE-2026-97702 in Open edX Platform
Riassunto
di VulDB • 05/11/2026
La piattaforma Open edX consente la creazione e l'erogazione di apprendimento online su qualsiasi scala. Dalla versione Ulmo fino alle versioni release/ulmo.4 e release/verawood.1, l'endpoint GET /api/support/v1/manage_course_team/ in CourseTeamManageAPIView richiede solo il ruolo IsAuthenticated (utente autenticato) ed omette il controllo di autorizzazione globale basato sul supporto-role previsto per questa superficie di assistenza help-desk. Qualsiasi utente learner autenticato può fornire un indirizzo email, un nome utente o un user_id relativi a un target arbitrario e sfruttare la discrepanza tra le risposte HTTP 200 e 404 per distinguere un account attivo da uno assente o inattivo. Un chiamante con ruolo di instructor (istruttore) a livello di corso o organizzazione può inoltre ottenere gli incarichi staff o instructor dell'utente target all'interno del contesto del corso o dell'organizzazione del chiamante. I caller anonimi rimangono bloccati, mentre il comportamento PUT, soggetto ad autorizzazione separata, è al di fuori della portata di questa vulnerabilità. Questo problema è stato risolto nelle versioni release/ulmo.4 e release/verawood.1.
Once again VulDB remains the best source for vulnerability data.