CVE-2026-39415
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Frappe Learning Management System (LMS) przed wersją 2.46.0 umożliwia studentom modyfikację wyników quizów przed wysłaniem. Aplikacja polega na obliczeniach po stronie klienta, które można zmienić za pomocą narzędzi deweloperskich przeglądarki, co narusza integralność wyników.
Ocena ryzyka
Podważa to wiarygodność wyników quizów i rzetelność akademicką, choć nie pozwala na modyfikację danych innych użytkowników ani eskalację uprawnień.
Rekomendacja
Zaleca się aktualizację Frappe LMS do wersji 2.46.0 lub nowszej.
Inne podatności w Frappe LMS
Zobacz wszystkie- CVE-2026-39405Krytyczne
W Frappe Learning Management System (LMS) w wersjach 2.50.0 i niższych użytkownik z rolą edytora kursu może przesłać spakowany plik SCORM ZIP, aby zapisać pliki poza zamierzonym katalogiem. Podatność naprawiona w wersji 2.50.1.
- CVE-2026-39385Wysokie
Frappe LMS w wersji 2.51.0 i wcześniejszych umożliwia użytkownikowi ominięcie walidacji płatności za kursy poprzez użycie niepowiązanego batcha. Luka została załatana w wersji 2.52.0.
- CVE-2026-34606Średnie
Frappe LMS jest podatny na trwałe ataki XSS (Cross-Site Scripting). Luka występuje w wersjach od 2.27.0 do 2.48.0.
- CVE-2025-67734Średnie
Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym atakującym na wprowadzenie JavaScript przez pole Company Website w formularzu pracy, narażając użytkowników na atak XSS. Skrypt może być wykonany w przeglądarkach użytkowników, którzy otworzą złośliwą ofertę pracy. Problem naprawiono w wersji 2.42.0.
- CVE-2025-67730Średnie
Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym użytkownikom na dodawanie złośliwego HTML i JavaScript przez pola opisu w formularzach pracy, kursu i partii. Problem naprawiono w wersji 2.42.0.
- CVE-2025-66581Średnie
Frappe Learning Management System (LMS) przed wersją 2.41.0 ma wadę w logice autoryzacji po stronie serwera, która pozwalała uwierzytelnionym użytkownikom wykonywać działania poza przypisanymi rolami w wielu funkcjach. Ponieważ dotknięte punkty końcowe opierały się na kontrolach po stronie klienta lub na poziomie interfejsu zamiast egzekwować uprawnienia na serwerze, użytkownicy z niskimi rolami (np. studenci) mogli wykonywać operacje przeznaczone tylko dla instruktorów lub administratorów, bezpośrednio korzystając z API. Luka jest naprawiona w wersji 2.41.0.
- CVE-2025-11283Niskie
W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji komponentu Course Handler. Manipulacja argumentem Description może prowadzić do cross-site scripting (XSS). Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-11282Niskie
Podatność w Frappe LMS 2.34.x/2.35.0 dotyczy niekompletnej poprawki CVE-2025-55006. Manipulacja nieznaną funkcją prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11280Niskie
W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji pliku /files/ komponentu Assignment Picture Handler. Manipulacja powoduje bezpośrednie żądanie, które może być zainicjowane zdalnie. Złożoność ataku jest wysoka, a wykorzystanie uznawane za trudne, jednak exploit został publicznie ujawniony i może być użyty.
Oryginalny opis (angielski, źródło NVD)
Frappe Learning Management System (LMS) is a learning system that helps users structure their content. Prior to 2.46.0, a vulnerability has been identified in Frappe Learning where quiz scores can be modified by students before submission. The application currently relies on client-side calculated scores, which can be altered using browser developer tools prior to sending the submission request. While this does not allow modification of other users’ data or privilege escalation, it compromises the integrity of quiz results and undermines academic reliability. This issue affects data integrity but does not expose confidential information or allow unauthorized access to other accounts. This vulnerability is fixed in 2.46.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS