CVE-2026-46353

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 BigBlueButton nie escapował pola meetingName w record-and-playback/screenshare/playback/index.html.erb podczas generowania formatu odtwarzania ekranu. Użytkownik z niskimi uprawnieniami mógł zapisać spreparowaną nazwę spotkania zawierającą skrypt, który wykonywał się w przeglądarce innego użytkownika podczas odtwarzania nagrania. Problem naprawiono w wersji 3.0.29.

BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 prezenterzy mogli przesłać presentationId przez /api/graphql, które identyfikowało prezentację należącą do innego spotkania. Plik akka-bbb-apps/src/main/scala/org/bigbluebutton/core/apps/presentationpod/RemovePresentationPubMsgHdlr.scala nie weryfikował identyfikatora spotkania przed usunięciem, co pozwalało prezenterowi znającemu identyfikator usunąć prezentację innego spotkania i zakłócić jego dostępność. Problem naprawiono w wersji 3.0.29.

BigBlueButton przed wersją 3.0.23 pozwala uwierzytelnionym moderatorom na wstrzyknięcie SQL przez wartości meetingId i userId używane w metodzie refreshBreakoutRoomsVisibleForUsers. Metoda interpoluje te wartości do zapytań o widoczność pokoi breakout, umożliwiając wykonanie dowolnego SQL na bazie danych aplikacji. Problem naprawiono w wersji 3.0.23.

BigBlueButton przed wersją 3.0.23 udostępnia endpoint /bigbluebutton/api/handleJoinExistingUser, który był routowalną akcją kontrolera zamiast prywatną funkcją pomocniczą. Osoba mogąca podać existingUserID aktywnego uczestnika może ponownie użyć jego sesji i podszyć się pod uczestnika w tym samym spotkaniu. Problem naprawiono w wersji 3.0.23.

BigBlueButton przed wersją 3.0.23 nieprawidłowo ograniczał dostęp do lokalnych adresów sieciowych podczas walidacji URL prezentacji. Logika podążania za przekierowaniami została poprawiona, aby blokować adresy IP z zakresów lokalnych.

BigBlueButton przed wersją 3.0.21 generował tokeny sesji konferencyjnych z niewystarczająco bezpieczną losowością, co umożliwiało użytkownikowi sesji przewidywanie tokenów innych użytkowników i podszywanie się pod nich.

BigBlueButton przed wersją 3.0.19 nie sanityzuje danych wejściowych użytkownika w publicznym czacie podczas odtwarzania nagrań. Pozwala to złośliwemu aktorowi na przeprowadzenie ataku XSS, który aktywuje się u każdego odtwarzającego nagranie. Problem został naprawiony w wersji 3.0.19.

W BigBlueButton w wersjach przed 3.0.13 uwierzytelniony użytkownik może wysłać zniekształcony parametr reactionEmojiId w mutacji GraphQL chatSendMessageReaction, co powoduje awarię funkcji czatu dla wszystkich uczestników spotkania.

Podatność typu Denial of Service (DoS) w BigBlueButton w wersjach przed 3.0.13. Uwierzytelniony użytkownik może zamrozić lub zawiesić cały serwer, wysyłając złośliwy ładunek z ogromną tablicą w polu answerIds w odpowiedzi typu Choices.

W wersjach BigBlueButton przed 3.0.13 funkcja „Shared Notes” zawiera podatność przechowywanego XSS, gdzie dane wejściowe pochodzą z pola „Username”, a dane wyjściowe są prezentowane na stronie „Shared Notes”, gdy użytkownik ze złośliwą nazwą użytkownika edytuje treść. Umożliwia to użytkownikowi o niskich uprawnieniach wykonanie dowolnego JavaScriptu w kontekście użytkowników o wyższych uprawnieniach (np. administratorów) otwierających stronę Shared Notes. Wersja 3.0.13 naprawia problem.