classroomio 0.1.13 中发现一个问题。学生账户能够在无需任何授权或身份验证检查的情况下，从“探索”页面删除课程，绕过了预期的仅限管理员删除的限制。发现者 - Rivek Raj Tamang (RivuDon)，印度锡金。
受影响产品：ClassroomIO
访问控制漏洞
ClassroomIO 0.1.13 中存在一个访问控制漏洞，允许学生级用户在未经任何授权检查的情况下删除已发布的课程。“删除课程”操作——本应仅限管理员使用——被不当暴露在“探索”页面上，使得任何已认证的学生都能删除管理员创建的整个课程。此缺陷导致未经授权的数据篡改、学习内容丢失以及平台功能中断。问题根源在于缺少服务器端权限验证，使学生只需与暴露的删除端点交互即可绕过角色限制。
准备两个账户：管理员（Chromium 浏览器）和学生（Firefox 浏览器）
以管理员身份登录
以学生身份登录
学生导航到“探索”页面，看到新发布的课程。
学生拥有删除选项
点击课程旁边的“删除”按钮。学生确认删除操作。
课程被删除，无需任何身份验证或授权批准。
以管理员身份登录
此漏洞由以下人员发现并负责地报告：
Rivek Raj Tamang (RivuDon)，来自印度锡金
