CVE-2025-65669
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W classroomio 0.1.13 konta studentów mogą usuwać kursy ze strony Explore bez żadnych kontroli autoryzacji lub uwierzytelniania, omijając oczekiwane ograniczenie usuwania tylko dla administratorów.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowani użytkownicy (studenci) mogą trwale usuwać kursy, co prowadzi do utraty danych i zakłócenia działania platformy edukacyjnej.
Rekomendacja
Należy natychmiast zaktualizować classroomio do najnowszej wersji, która zawiera poprawkę usuwającą tę lukę, oraz wdrożyć odpowiednie kontrole dostępu dla operacji usuwania kursów.
Inne podatności w classroomio
Zobacz wszystkie- CVE-2026-111369Wysokie
W ClassroomIO do wersji 1.0.0 występuje podatność nieprawidłowej autoryzacji w trasach PUT i DELETE /:lessonId, która pozwala każdemu członkowi kursu, w tym studentom, modyfikować lekcje. Uwierzytelnieni studenci mogą podawać dowolne identyfikatory lekcji, aby zmieniać tytuły i przechowywaną treść HTML lub usuwać lekcje w swoim kursie oraz w innych kursach i organizacjach.
- CVE-2026-111368Średnie
ClassroomIO w wersji do 1.0.0 zawiera podatność typu insecure direct object reference w trasach API Hono dotyczących zgłoszeń kursowych, która pozwala tutorom lub administratorom kursu modyfikować zgłoszenia w innych kursach. Atakujący może podać własny identyfikator kursu wraz z UUID zgłoszenia z innego kursu do handlerów PUT lub DELETE, aby nadpisać odpowiedzi, oceny, opinie i status oceniania albo usunąć zgłoszenia.
- CVE-2025-65670Średnie
W classroomio 0.1.13 wykryto podatność IDOR, która umożliwia studentom dostęp do wrażliwych endpointów administratora/nauczyciela poprzez manipulację identyfikatorami kursów w URL. Prowadzi to do chwilowego ujawnienia poufnych danych kursów, administratorów i studentów, zanim system przywróci normalne ograniczenia dostępu.
- CVE-2025-65672Wysokie
W systemie classroomio w wersji 0.1.13 wykryto podatność IDOR, która umożliwia nieautoryzowany dostęp do udostępniania i zapraszania do ustawień kursu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS