CVE-2026-97702 in Open edX Platform
Сводка
по VulDB • 05.11.2026
Платформа Open edX позволяет создавать и предоставлять онлайн-обучение в любом масштабе. Начиная с релиза Ulmo до версий release/ulmo.4 и release/verawood.1, конечная точка GET /api/support/v1/manage_course_team/, реализованная через CourseTeamManageAPIView, требует только аутентификации (IsAuthenticated) и пропускает глобальную проверку авторизации на основе роли поддержки, предназначенную для этой поверхности помощи-деска. Любой аутентифицированный учащийся может указать email, имя пользователя или user_id произвольной цели и использовать различие в ответах 200 и 404 для определения активного аккаунта от отсутствующего или неактивного. Вызывающий с ролью преподавателя на уровне курса или организации также может получить назначения целевого пользователя как staff или instructor в рамках области действия вызывающего (курс или организация). Анонимные пользователи остаются заблокированными, а отдельно авторизованное поведение PUT выходит за рамки данной уязвимости. Эта проблема исправлена в релизах release/ulmo.4 и release/verawood.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.