CVE-2025-65670

classroomio 0.1.13 中存在不安全的直接对象引用（IDOR），允许学生通过操纵 URL 中的课程 ID 来访问管理员/教师的敏感端点，导致敏感课程、管理员和学生数据在系统恢复到正常限制状态之前短暂泄露。发现者：Rivek Raj Tamang (RivuDon)，印度锡金。

受影响产品：ClassroomIO

• 受影响版本：0.1.13
• 发现者：Rivek Raj Tamang (RivuDon)，印度锡金

漏洞详情

不安全的直接对象引用 / 访问控制缺陷

摘要

此漏洞允许学生级别的用户通过直接操纵 URL 中的课程 ID，短暂访问仅限管理员的特权端点。由于缺少授权检查和不当的访问验证，敏感的课程分析、考勤记录、提交内容、人员列表和成绩在系统恢复执行限制之前暴露出来。这种短暂但关键的信息泄露构成了基于 IDOR 的访问控制缺陷问题，并可能导致敏感的管理员和学生数据泄露。

复现步骤

以管理员身份登录

1. 创建并发布一个包含已注册学生的课程。

2. 访问该课程的管理员端点，例如：

courses/<课程ID>/analytics、courses/<课程ID>/attendance、courses/<课程ID>/submissions、courses/<课程ID>/people、courses/<课程ID>/marks

3. 管理员可以查看预期数据。

以学生身份登录

4. 通过“探索”加入课程

5. 验证学生无法在 UI 中看到管理员

6. 找到课程 ID（例如，通过检查课程课件的 URL）。

7. 通过构造如下 URL 手动访问管理员端点：

courses/<课程ID>/analytics、courses/<课程ID>/attendance、courses/<课程ID>/submissions、courses/<课程ID>/people、courses/<课程ID>/marks

8. 系统会短暂返回仅限管理员/教师角色的数据，泄露敏感信息，然后恢复访问限制。

致谢

此漏洞由以下人员发现并负责任地报告：

Rivek Raj Tamang (RivuDon)，来自印度锡金

https://www.linkedin.com/in/rivektamang/

https://rivudon.medium.com/