关键信息摘要 漏洞基本信息 漏洞编号: GHSA-4jf5-636r-hv9v 漏洞类型: Broken Access Control CVSS 3.1 评分: 6.5 CVE ID: CVE-2026-24670 弱项编号: CWE-284 影响范围 受影响的应用: Open eClass 受影响的版本: <= 4.1 已修复的版本: 4.2 漏洞描述 摘要: 一个失败的访问控制漏洞允许已认证的学生创建新的课程单元，这是一个通常被限制在更高权限角色的行为。 详细信息: - 应用程序在 端点无法正确执行访问控制。具有student角色的已认证用户可以访问只应由教师或管理员使用的功能并创建新的课程单元。 - 这种不正确的授权允许用户以系统未预期的方式操作课程结构，违反基于角色的访问策略并可能影响课程的完整性。 漏洞详情与验证方法 受影响的端点: POST 概念验证(PoC): 1. 用具有学生角色的用户身份进行身份验证。 2. 提交带有有效参数（例如，单元标题，描述）的请求到受影响的端点。 3. 观察创建的新单元，尽管该用户缺乏教师权限。 截图与日志: 展示了操作过程、界面变化以及服务器响应，证明了学生用户可以成功创建一个课程单元并收到未经授权的课程单元的反馈。 漏洞发现者 发现与报告者: Alexandros Perrakis (Github 用户名: Stolichnayer)