CVE-2026-39322: Bypass de Autenticación en PolarLearn

Un atacante puede explotar esta vulnerabilidad para eludir las restricciones de acceso implementadas en PolarLearn. Al crear una sesión válida para una cuenta baneada, el atacante puede acceder a datos sensibles y realizar acciones autenticadas como ese usuario, incluso si la cuenta ha sido prohibida. Esto podría incluir la modificación de datos del usuario, el acceso a información confidencial o la realización de acciones administrativas, dependiendo de los permisos asociados a la cuenta baneada. La falta de verificación de la contraseña antes de crear la sesión es la causa principal de esta vulnerabilidad, permitiendo a un atacante saltarse el proceso de autenticación normal.

Organizations and individuals using PolarLearn versions 0.0.0 through v0-PRERELEASE-15 are at risk. This includes educational institutions, training providers, and anyone utilizing PolarLearn for online learning programs. Shared hosting environments running PolarLearn are particularly vulnerable, as a compromise of one account could potentially lead to broader access.

• nodejs / server:

# Check for PolarLearn processes
ps aux | grep PolarLearn

# Monitor API logs for suspicious login attempts from banned accounts (check for 'banned' status in user records)
grep 'banned' /var/log/polarlearn/api.log

• generic web:

# Check for exposed /api/v1/auth/sign-in endpoint
curl -I https://your-polarlearn-instance/api/v1/auth/sign-in

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-04-06
2. Publicada2026-04-07
3. Modificada2026-04-09
4. EPSS actualizado2026-04-15

La mitigación principal para el CVE-2026-39322 es actualizar PolarLearn a la versión 0.0.2 o posterior, donde se ha solucionado la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda revisar y fortalecer las políticas de gestión de cuentas baneadas para asegurar que las cuentas prohibidas no puedan ser explotadas. Además, se recomienda implementar un monitoreo más estricto de las sesiones de usuario para detectar actividades sospechosas. Después de la actualización, confirme que la creación de sesiones para cuentas baneadas está correctamente bloqueada mediante pruebas de penetración.