CVE-2026-97702 in Open edX Platform
要約
〜によって VulDB • 2026年11月05日
Open edX Platformは、あらゆる規模のオンライン学習のためのコンテンツ作成と配信を可能にします。Ulmoリリースからrelease/ulmo.4およびrelease/verawood.1までの間、CourseTeamManageAPIViewにおけるGET /api/support/v1/manage_course_team/エンドポイントはIsAuthenticatedのみを要求し、このヘルプデスク機能に対して意図されていたグローバルなサポートロールの認可チェックが省略されていました。認証済み学習者は任意の対象者のメールアドレス、ユーザー名、またはuser_idを入力でき、200および404レスポンスの違いを利用して、アクティブなアカウントと存在しないか非活性のアカウントを区別できます。コースレベルまたは組織レベルのインストラクター権限を持つ呼び出し元はさらに、自身のコースまたは組織のスコープ内における対象ユーザーのstaffまたはインストラクター割り当てを取得することができます。匿名の呼び出し元はブロックされたままであり、別途認可されているPUT動作はこの脆弱性の範囲外です。この問題はrelease/ulmo.4およびrelease/verawood.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.