CVE-2026-97702

Nome do Software Vulnerável e Versões Afetadas Open edX Platform versões Ulmo até release/ulmo.4 Open edX Platform versões Ulmo até release/verawood.1

Description O endpoint GET '/api/support/v1/manage course team/' em CourseTeamManageAPIView carece de uma verificação de autorização de função de suporte global, exigindo apenas que o usuário esteja autenticado. Isso permite que qualquer aluno autenticado forneça um e-mail, nome de usuário ou user id para determinar se uma conta está ativa com base na discrepância entre as respostas 200 e 404. Além disso, usuários com funções de instrutor em nível de curso ou organização podem recuperar as atribuições de equipe ou instrutor de um usuário alvo dentro de seu escopo específico.

Recommendations Atualize para release/ulmo.4. Atualize para release/verawood.1.