CVE-2026-88065

Nome do Software Vulnerável e Versões Afetadas tts-be versões anteriores a 2.1.0

Description Existe um controle de acesso quebrado em vários endpoints de API, incluindo '/api/student/{id}/photo' e '/api/course unit/{id}/exchange/metadata'. Ao encadear esses endpoints não autenticados, um invasor remoto pode utilizar o backend como um proxy aberto para ignorar verificações de autorização. Isso permite a enumeração e extração de Informações de Identificação Pessoal (PII) sensíveis de sistemas universitários upstream, incluindo nomes completos, IDs de estudantes, cronogramas de aulas e fotos.

Recommendations Atualizar para a versão 2.1.0. Restringir o acesso aos endpoints '/api/student/{id}/photo' e '/api/course unit/{id}/exchange/metadata' para minimizar o risco de exploração.