Frappe लर्निंग मैनेजमेंट सिस्टम में क्विज़ स्कोर का क्लाइंट-साइड मैनिपुलेशन

CVE-2026-39415 Frappe Learning Management System (LMS) के 2.46.0 से पहले के संस्करणों को प्रभावित करता है। यह भेद्यता छात्रों को जमा करने से पहले उनके क्विज़ स्कोर को संशोधित करने की अनुमति देती है। ऐसा इसलिए है क्योंकि एप्लिकेशन वर्तमान में क्लाइंट-साइड पर गणना किए गए स्कोर पर निर्भर करता है, जिन्हें जमा अनुरोध भेजने से पहले ब्राउज़र डेवलपर टूल का उपयोग करके हेरफेर किया जा सकता है। हालांकि यह अन्य उपयोगकर्ताओं के डेटा को संशोधित करने या विशेषाधिकार बढ़ाने की अनुमति नहीं देता है, लेकिन यह क्विज़ स्कोर की अखंडता और मूल्यांकन की वैधता को कमजोर करता है।

Educational institutions and organizations utilizing Frappe Learning Management System (LMS) versions 1.0.0 through 2.46.0 are at risk. Specifically, courses relying heavily on quizzes for assessment are particularly vulnerable. Organizations with limited security expertise or those who have not implemented robust code review processes are also at higher risk.

• Generic Web: Check the Frappe LMS application code for client-side score calculations without server-side validation. Use curl to inspect API endpoints related to quiz submissions for potential vulnerabilities. • php: Examine PHP code for functions related to quiz score calculation and submission. Look for instances where client-side data is directly used without validation. Use grep to search for keywords like $_POST and score in relevant files. • Database (MySQL): Query the database for suspicious quiz score entries that deviate significantly from expected ranges or patterns. Use a query like SELECT score FROM quiz_results WHERE score > 100 OR score < 0;

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-07
2. प्रकाशित2026-04-08
3. संशोधित2026-04-09
4. EPSS अद्यतन2026-04-16

इस भेद्यता के लिए समाधान Frappe LMS के संस्करण 2.46.0 या उच्चतर में अपग्रेड करना है। इस संस्करण में फिक्स शामिल हैं जो सर्वर-साइड पर क्विज़ स्कोर को मान्य करते हैं, जिससे क्लाइंट-साइड हेरफेर को रोका जा सकता है। सीखने के परिणामों के लिए मूल्यांकन की अखंडता और विश्वास की रक्षा के लिए इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, मूल्यांकन नीतियों और प्रथाओं की समीक्षा करें ताकि अपडेट को पूरक किया जा सके और एक सुरक्षित और विश्वसनीय सीखने का माहौल सुनिश्चित किया जा सके।