Plataforma
erpnext
Componente
lms
Corrigido em
2.46.0
Uma vulnerabilidade foi identificada no Frappe Learning Management System (LMS) em versões anteriores a 2.46.0. A vulnerabilidade permite que alunos modifiquem as pontuações dos quizzes usando ferramentas de desenvolvedor do navegador antes de enviar a submissão. Embora não permita a modificação de dados de outros usuários ou escalonamento de privilégios, compromete a integridade dos resultados dos quizzes. A correção foi lançada na versão 2.46.0.
CVE-2026-39415 afeta o Frappe Learning Management System (LMS) em versões anteriores a 2.46.0. A vulnerabilidade permite que os alunos modifiquem suas pontuações em questionários antes do envio. Isso ocorre porque o sistema atualmente calcula as pontuações no lado do cliente, o que significa que os usuários podem manipular esses cálculos usando ferramentas de desenvolvimento do navegador antes de enviar a solicitação de envio. Embora esta vulnerabilidade não permita a modificação de dados de outros usuários ou a escalada de privilégios, ela compromete a integridade das pontuações dos questionários e a validade das avaliações.
A exploração desta vulnerabilidade requer acesso ao navegador web do aluno e o uso de ferramentas de desenvolvimento para modificar o código JavaScript que calcula a pontuação do questionário. O atacante deve ser um usuário legítimo do sistema LMS para poder acessar o questionário e manipular a pontuação. A dificuldade de exploração é relativamente baixa, pois as ferramentas de desenvolvimento do navegador são amplamente acessíveis. No entanto, o impacto na integridade das avaliações é significativo.
Educational institutions and organizations utilizing Frappe Learning Management System (LMS) versions 1.0.0 through 2.46.0 are at risk. Specifically, courses relying heavily on quizzes for assessment are particularly vulnerable. Organizations with limited security expertise or those who have not implemented robust code review processes are also at higher risk.
• Generic Web: Check the Frappe LMS application code for client-side score calculations without server-side validation. Use curl to inspect API endpoints related to quiz submissions for potential vulnerabilities.
• php: Examine PHP code for functions related to quiz score calculation and submission. Look for instances where client-side data is directly used without validation. Use grep to search for keywords like $_POST and score in relevant files.
• Database (MySQL): Query the database for suspicious quiz score entries that deviate significantly from expected ranges or patterns. Use a query like SELECT score FROM quiz_results WHERE score > 100 OR score < 0;
disclosure
Status do Exploit
EPSS
0.10% (percentil 27%)
CISA SSVC
A solução para esta vulnerabilidade é atualizar para a versão 2.46.0 ou superior do Frappe LMS. Esta versão inclui correções que validam as pontuações dos questionários no servidor, impedindo a manipulação do lado do cliente. Recomenda-se aplicar esta atualização o mais rápido possível para proteger a integridade das avaliações e a confiança nos resultados da aprendizagem. Além disso, revise as políticas de avaliação e as práticas para complementar a atualização e garantir um ambiente de aprendizagem seguro e confiável.
Actualice el Frappe Learning Management System a la versión 2.46.0 o posterior para mitigar la vulnerabilidad. Esta versión corrige el problema al validar los puntajes de los cuestionarios en el lado del servidor, evitando que los estudiantes los modifiquen a través de herramientas de desarrollo del navegador.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Não, esta vulnerabilidade permite apenas a modificação da própria pontuação do aluno.
Enquanto isso, recomenda-se monitorar de perto as pontuações dos questionários e considerar a implementação de medidas de segurança adicionais, como a revisão manual das respostas.
Atualizar para a versão 2.46.0 é a melhor proteção. Além disso, educar os alunos sobre a importância da integridade acadêmica pode ajudar a prevenir o abuso.
Não, esta vulnerabilidade não afeta a privacidade dos dados pessoais dos usuários.
KEV (Knowledge Enhanced Vulnerability) é uma classificação. 'Não' indica que nenhuma informação ou análise aprofundada adicional sobre esta vulnerabilidade foi encontrada nas fontes de KEV.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.