Open edX edx-platform设计漏洞

CVE编号

CVE-2015-2286

利用情况

暂无

补丁情况

N/A

披露时间

2016-03-19

漏洞描述

Open edX edx-platform是美国哈佛大学和麻省理工学院（Harvard和MIT）共同创建的一套免费且开源的课程管理系统（CMS）。该系统可用于MOOCs（大规模网络开放课程）以及较小的课程和培训模块。
Open edX edx-platform 2015-01-29之前版本的lms/templates/footer-edx-new.html文件中存在安全漏洞，该漏洞源于程序未能正确限制密码重置页面的链接。远程攻击者可通过在用户从该页面导航到social-sharing网站后读取参考日志，利用该漏洞发现密码重置令牌。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
https://open.edx.org/CVE-2015-2286

参考链接
https://github.com/edx/edx-platform/commit/a1ffcc52594b1e7240501aab0ea145f1da3edb5a
https://open.edx.org/CVE-2015-2286

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	edx	open_edx	*		Up to (including) 2015-01-27

CVSS3评分 6.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CWE-ID 漏洞类型 CWE-200 信息暴露