CVE-2025-65669

classroomio 0.1.13 において、学生アカウントが Explore ページからコースを削除できる問題が発見されました。これは認可や認証のチェックを一切行わず、管理者のみが削除できるという想定を回避するものです。発見者: Rivek Raj Tamang (RivuDon)、シッキム州、インド

影響を受ける製品: ClassroomIO

• 影響を受けるバージョン: 0.1.13
• 発見者: Rivek Raj Tamang (RivuDon)、シッキム州、インド

脆弱性の詳細

不適切なアクセス制御

概要

ClassroomIO 0.1.13 における不適切なアクセス制御の脆弱性により、学生レベルのユーザーが認可チェックなしで公開済みコースを削除できます。「Delete Course」アクションは管理者のみが使用できることを意図していますが、Explore ページに不適切に露出しており、認証された学生であれば管理者が作成したコース全体を削除できてしまいます。この欠陥により、不正なデータ操作、学習コンテンツの喪失、プラットフォーム機能の中断が発生します。問題の原因はサーバーサイドの権限検証の欠如であり、学生が公開された削除エンドポイントとやり取りするだけでロール制限を回避できることです。

再現手順

2つのアカウント（管理者と学生）を用意します（管理者は Chromium、学生は Firefox）。

管理者としてログイン

1. 管理者がコース（ライブまたは自己ペース）を作成し、公開します。

学生としてログイン

2. 学生が Explore ページに移動し、新しく公開されたコースを確認します。
3. 学生に削除オプションが表示されます。
4. コース横に表示される「Delete」ボタンをクリックし、削除を確認します。
5. 認証や認可の承認を必要とせずにコースが削除されます。

管理者としてログイン

6. 両方の端末でコースが削除されていることを確認します。

謝辞

本脆弱性は、以下の者によって責任を持って報告されました。

Rivek Raj Tamang (RivuDon)（インド、シッキム州）

https://www.linkedin.com/in/rivektamang/

https://rivudon.medium.com/