CVE-2026-53635
Təsvir
Open edX Platform hər hansı miqyasda onlayn təlimlərin hazırlanmasını və təqdim edilməsini təmin edir. 59bb6d6 commit-indən əvvəl, lms/djangoapps/instructor/views/instructor_dashboard.py:430 ünvanındakı set_course_mode_price() görünüş funksiyası yalnız @login_required ilə dekorasiya edilmişdir və kurs səviyyəsində heç bir icazə yoxlaması aparmır. Hər hansı autentifikasiya olunmuş istifadəçi — o cümlədən heç bir kurs rolu olmayan tələbə hesabı — platformadakı hər hansı kursun şərəf rejimi qiymətini və valyutasını yeniləmək üçün tək bir POST sorğusu göndərə bilər. Müvafiq frontend modal pəncərəsi əvvəlki təmizləmə zamanı silinib, lakin URL marşrutu və görünüş aktiv qalıb ki, bu da onu qorunmayan kənar nöqtəyə (orphan endpoint) çevirib. Bu problem 59bb6d6 commit-i vasitəsilə aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openedx openedx-platform | < 59bb6d669e4fdc24d96afb809e12119372d9e257 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.