rivek619/cve-2025-65669क्लासरूमियो 0.1.13 में एक समस्या पाई गई। छात्र खाते एक्सप्लोर पेज से बिना किसी प्राधिकरण या प्रमाणीकरण जांच के पाठ्यक्रम हटा सकते हैं, जिससे अपेक्षित केवल-व्यवस्थापक हटाने की प्रतिबंध को दरकिनार किया जा सकता है। खोजकर्ता - रिवेक राज तामांग (RivuDon), सिक्किम, भारत।
classroomio 0.1.13 में एक समस्या पाई गई। छात्र खाते एक्सप्लोर पेज से कोर्स को बिना किसी प्राधिकरण या प्रमाणीकरण जांच के हटा सकते हैं, जो अपेक्षित एडमिन-केवल हटाने के प्रतिबंध को दरकिनार करता है। खोजकर्ता - रिवेक राज तमांग (RivuDon), सिक्किम, भारत।
प्रभावित उत्पाद: ClassroomIO
भग्न अभिगम नियंत्रण
ClassroomIO 0.1.13 में एक भग्न अभिगम नियंत्रण भेद्यता छात्र-स्तर के उपयोगकर्ताओं को बिना किसी प्राधिकरण जांच के प्रकाशित पाठ्यक्रमों को हटाने की अनुमति देती है। 'पाठ्यक्रम हटाएं' क्रिया—जो विशेष रूप से प्रशासकों के लिए अभिप्रेत है—एक्सप्लोर पेज पर अनुचित रूप से उजागर होती है, जिससे कोई भी प्रमाणित छात्र प्रशासकों द्वारा बनाए गए संपूर्ण पाठ्यक्रमों को हटा सकता है। यह दोष अनधिकृत डेटा हेरफेर, शिक्षण सामग्री की हानि, और प्लेटफॉर्म कार्यक्षमता में व्यवधान का कारण बनता है। समस्या सर्वर-साइड अनुमति सत्यापन की कमी से उत्पन्न होती है, जिससे छात्र केवल उजागर हटाने वाले एंडपॉइंट के साथ बातचीत करके भूमिका प्रतिबंधों को दरकिनार कर सकते हैं।
दो खाते रखें: प्रशासक (क्रोमियम) और छात्र (फ़ायरफ़ॉक्स)
प्रशासक के रूप में लॉगिन करें
छात्र के रूप में लॉगिन करें
छात्र एक्सप्लोर पेज पर जाता है और नए प्रकाशित पाठ्यक्रम को देखता है।
छात्र के पास हटाने का विकल्प होता है
पाठ्यक्रम के साथ उपलब्ध 'हटाएं' बटन पर क्लिक करता है। छात्र हटाने की पुष्टि करता है।
पाठ्यक्रम बिना किसी प्रमाणीकरण या प्राधिकरण अनुमोदन की आवश्यकता के हटा दिया जाता है।
प्रशासक के रूप में लॉगिन करें
यह भेद्यता खोजी गई और जिम्मेदारीपूर्वक रिपोर्ट की गई:
रिवेक राज तमांग (RivuDon), सिक्किम, भारत
