PT-2026-30739 · Edx · Open Edx Platform

Ik0Z · Publicado 2026-04-06 · Atualizado 2026-05-12 · CVE-2026-35404

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Open edX Platform (affected versions not specified)

Description A Plataforma Open edX permite a criação e entrega de conteúdo de aprendizado online. O endpoint da API view survey é suscetível a um redirecionamento aberto devido à falta de validação do parâmetro GET redirect url. Fornecer um nome de pesquisa inexistente resulta em um redirecionamento HTTP 302 não validado para uma URL controlada pelo usuário. A mesma URL não validada também é incluída em um campo de formulário oculto e retornada em uma resposta JSON, onde o JavaScript do lado do cliente redireciona o usuário para essa URL. Isso pode levar a ataques de phishing e roubo de credenciais contra usuários autenticados.

Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2026-35404

Produtos afetados

Open Edx Platform

Referências · 6

• https://github.com/openedx/openedx-platform/security/advisories/GHSA-2843-x998-f8r2 · Aviso do Fabricante
• https://github.com/openedx/openedx-platform/commit/76462f1e5fa9b37d2621ad7ad19514b403908970 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-35404 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2041283807152595269 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2041282880585052211 · Publicação no Twitter
• https://reddit.com/r/openedx/comments/1tbhl2s/a_new_open_edx_vulnerability_was_disclosed · Publicação no Reddit