CVE-2026-53635 in edX Platform
Sumário
de VulDB • 02/09/2026
A plataforma Open edX permite a criação e o fornecimento de aprendizado online em qualquer escala. Antes do commit 59bb6d6, a função view set_course_mode_price() localizada em lms/djangoapps/instructor/views/instructor_dashboard.py:430 é decorada apenas com @login_required e não realiza nenhuma verificação de permissão em nível de curso. Qualquer usuário autenticado — incluindo uma conta de aprendiz sem papéis (roles) em cursos — pode emitir um único POST request para substituir o preço do modo honorário e a moeda de qualquer curso na plataforma. O modal frontend correspondente foi removido durante uma limpeza anterior, mas a rota URL e a view permanecem ativas, tornando este um endpoint órfão sem proteção adequada. Esta vulnerabilidade foi corrigida por meio do commit 59bb6d6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.