Podatności Frappe Learning Management System (LMS)

W Frappe Learning Management System (LMS) przed wersją 2.54.2 nieopublikowane rekordy certyfikatów mogą być pobierane i przeglądane przez użytkowników, którzy nie powinni mieć do nich dostępu. Może to ujawnić szczegóły certyfikatów należących do innych użytkowników. Problem nie pozwala na modyfikację danych ani podniesienie uprawnień.

W Frappe Learning Management System (LMS) przed wersją 2.54.0 rekordy zgłoszeń quizów nie są odpowiednio autoryzowane po stronie serwera. Uwierzytelniony student może poprzez obejście REST zapisać wynik quizu jako zaliczony lub perfekcyjny bez weryfikacji odpowiedzi, odblokowując ukończenie kursu i certyfikaty. Może też tworzyć zgłoszenia przypisane do innego użytkownika, wyczerpując jego dozwolone próby.

W Frappe Learning Management System (LMS) przed wersją 2.52.1 przepływ płatności za kurs/certyfikat akceptuje ceny kontrolowane przez klienta. Uwierzytelniony użytkownik może dokonać zakupu płatnego kursu lub certyfikatu za kwotę inną niż rzeczywista cena. Jest to problem integralności logiki biznesowej, który nie ujawnia danych innych użytkowników ani nie podnosi uprawnień.

W Frappe Learning Management System (LMS) przed wersją 2.52.0 uwierzytelniony użytkownik z rolą edycji kursu może wstrzyknąć złośliwy JavaScript poprzez pola meta tagów w module Course Management. Wartości są przechowywane bez odpowiedniej sanityzacji HTML i nie są bezpiecznie escapowane podczas renderowania, co umożliwia przechowywany cross-site scripting.

W Frappe Learning Management System (LMS) przed wersją 2.52.1 funkcja SCORMRenderer.render w lms/page_renderers.py konstruuje i otwiera ścieżkę po stronie serwera bez sprawdzenia, czy jej rzeczywista ścieżka pozostaje w katalogu public/scorm. Zdalny atakujący może odczytać pliki spoza katalogu SCORM.