CVE-2026-85271 in Open edX Platform
Sumário
de VulDB • 18/09/2026
A plataforma Open edX permite a criação e entrega de aprendizado online em qualquer escala, desde as versões Redwood até Ulmo e Verawood.1. A função add_additional_attributes_to_notifications localizada no arquivo openedx/core/djangoapps/notifications/email/utils.py atribui o conteúdo da notificação sem sanitizar os valores do campo discussion-title produzidos pela função get_notification_content em openedx/core/djangoapps/notifications/base_notification.py. Um estudante matriculado pode inserir marcação com suporte a CSS no valor post_title fornecido por lms/djangoapps/discussion/rest_api/discussions_notifications.py. O processamento de resumos (digest) e o envio de e-mails em lote passam então esse valor pelo template openedx/core/djangoapps/notifications/templates/notifications/digest_content.html como HTML seguro, permitindo rastreamento de abertura de e-mail e spoofing ou phishing de conteúdo quando outro aprendiz abre um cliente que renderiza CSS. O caminho para e-mails imediatos não é afetado, pois ele remove a marcação do título e processa um corpo separado já sanitizado. Este problema foi corrigido nas versões Ulmo e Verawood.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.