Frappe Learning Management System has Client-Side Manipulation of Quiz Scores

CVE-2026-39415 betrifft Frappe Learning Management System (LMS) Versionen vor 2.46.0. Die Schwachstelle ermöglicht es Studenten, ihre Quiz-Ergebnisse zu ändern, bevor sie eingereicht werden. Dies liegt daran, dass die Anwendung derzeit auf clientseitig berechnete Ergebnisse angewiesen ist, die mit Browser-Entwicklertools manipuliert werden können, bevor die Übertragung der Übermittlungsanfrage erfolgt. Obwohl dies keine Änderung der Daten anderer Benutzer oder eine Eskalation von Berechtigungen ermöglicht, beeinträchtigt es die Integrität der Quiz-Ergebnisse und die Gültigkeit der Bewertungen.

Educational institutions and organizations utilizing Frappe Learning Management System (LMS) versions 1.0.0 through 2.46.0 are at risk. Specifically, courses relying heavily on quizzes for assessment are particularly vulnerable. Organizations with limited security expertise or those who have not implemented robust code review processes are also at higher risk.

• Generic Web: Check the Frappe LMS application code for client-side score calculations without server-side validation. Use curl to inspect API endpoints related to quiz submissions for potential vulnerabilities. • php: Examine PHP code for functions related to quiz score calculation and submission. Look for instances where client-side data is directly used without validation. Use grep to search for keywords like $_POST and score in relevant files. • Database (MySQL): Query the database for suspicious quiz score entries that deviate significantly from expected ranges or patterns. Use a query like SELECT score FROM quiz_results WHERE score > 100 OR score < 0;

1. 2026-04-08Disclosure

   disclosure

1. Reserviert2026-04-07
2. Veröffentlicht2026-04-08
3. Geändert2026-04-09
4. EPSS aktualisiert2026-04-16

Die Lösung für diese Schwachstelle besteht darin, auf Version 2.46.0 oder höher des Frappe LMS zu aktualisieren. Diese Version enthält Korrekturen, die die Quiz-Ergebnisse serverseitig validieren und so die clientseitige Manipulation verhindern. Es wird empfohlen, dieses Update so bald wie möglich anzuwenden, um die Integrität der Bewertungen und das Vertrauen in die Lernergebnisse zu schützen. Überprüfen Sie außerdem die Bewertungspolitiken und -praktiken, um das Update zu ergänzen und eine sichere und zuverlässige Lernumgebung zu gewährleisten.