CVE-2025-67259
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W ClassroomIO v0.1.13 występuje podatność Broken Access Control. Uwierzytelniony użytkownik o niskich uprawnieniach (student) może uzyskać dostęp do nieautoryzowanych informacji na poziomie kursu, modyfikując przechwycone żądania API — zmiana żądania POST na GET do endpointu PostgREST /rest/v1/course ujawnia dane innych studentów, profile tutorów/administratorów oraz wewnętrzne metadane kursu.
Ocena ryzyka
Niski uprawnieniami użytkownik może uzyskać dostęp do danych innych użytkowników i wewnętrznych informacji kursu, co stanowi naruszenie poufności i może prowadzić do dalszych ataków.
Rekomendacja
Zaktualizuj ClassroomIO do wersji zawierającej poprawkę lub wdróż kontrolę dostępu po stronie serwera dla endpointu /rest/v1/course, weryfikując uprawnienia użytkownika do każdego żądania.
Inne podatności w ClassroomIO
Zobacz wszystkie- CVE-2025-65669Krytyczne
W classroomio 0.1.13 konta studentów mogą usuwać kursy ze strony Explore bez żadnych kontroli autoryzacji lub uwierzytelniania, omijając oczekiwane ograniczenie usuwania tylko dla administratorów.
- CVE-2026-111369Wysokie
W ClassroomIO do wersji 1.0.0 występuje podatność nieprawidłowej autoryzacji w trasach PUT i DELETE /:lessonId, która pozwala każdemu członkowi kursu, w tym studentom, modyfikować lekcje. Uwierzytelnieni studenci mogą podawać dowolne identyfikatory lekcji, aby zmieniać tytuły i przechowywaną treść HTML lub usuwać lekcje w swoim kursie oraz w innych kursach i organizacjach.
- CVE-2026-111368Średnie
ClassroomIO w wersji do 1.0.0 zawiera podatność typu insecure direct object reference w trasach API Hono dotyczących zgłoszeń kursowych, która pozwala tutorom lub administratorom kursu modyfikować zgłoszenia w innych kursach. Atakujący może podać własny identyfikator kursu wraz z UUID zgłoszenia z innego kursu do handlerów PUT lub DELETE, aby nadpisać odpowiedzi, oceny, opinie i status oceniania albo usunąć zgłoszenia.
- CVE-2025-65670Średnie
W classroomio 0.1.13 wykryto podatność IDOR, która umożliwia studentom dostęp do wrażliwych endpointów administratora/nauczyciela poprzez manipulację identyfikatorami kursów w URL. Prowadzi to do chwilowego ujawnienia poufnych danych kursów, administratorów i studentów, zanim system przywróci normalne ograniczenia dostępu.
- CVE-2025-65672Wysokie
W systemie classroomio w wersji 0.1.13 wykryto podatność IDOR, która umożliwia nieautoryzowany dostęp do udostępniania i zapraszania do ustawień kursu.
Oryginalny opis (angielski, źródło NVD)
A Broken Access Control vulnerability exists in ClassroomIO v0.1.13 where an authenticated low-privileged "student" user can access unauthorized course-level information by modifying intercepted API requests. Changing a captured POST request to a GET request against the /rest/v1/course PostgREST endpoint results in disclosure of sensitive information including other students details, tutor/admin profiles, and internal course metadata.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS