CVE-2021-36747

O Blackboard Learn até a versão 9.1 permite XSS por um usuário autenticado por meio do formulário Feedback ao Aluno.

Descoberto: 11 de maio de 2018

A equipe de segurança do Blackboard foi notificada sobre este problema. Eles reconheceram a vulnerabilidade em 14 de maio de 2018.

Descrição:

A ferramenta Blackboard comumente usada na Educação Básica e no Ensino Superior permite que instrutores e avaliadores forneçam feedback sobre as tarefas enviadas. Esse feedback é texto simples que é convertido em HTML. Isso pode permitir que atores mal-intencionados insiram Javascript, que seria executado no navegador web do aluno ao visualizar o feedback.

Impacto:

Um script arbitrário pode ser executado no navegador web do usuário (CWE-79).

Versões Afetadas:

Versão 9.1 e versões anteriores que incluem o recurso de editar HTML ao fornecer Feedback ao Aluno no processo de avaliação.

Passos para Reproduzir:

1. Para explorar a vulnerabilidade, o atacante deve inserir uma tag de abertura na área Feedback ao Aluno da ferramenta de avaliação de tarefas
2. Ao enviar, o script é armazenado na seção de comentários da tarefa. Quando o usuário aluno visualiza o comentário em sua página de Notas, o script é executado
   

Capturas de Tela