CVE-2026-111369 Autorización incorrecta en ClassroomIO vía rutas de actualización y borrado de lecciones

Qué es CVE-2026-111369

ClassroomIO hasta 1.0.0 contiene una vulnerabilidad de autorización incorrecta en las rutas PUT y DELETE /:lessonId que permite a cualquier miembro del curso, incluidos estudiantes, modificar lecciones. Estudiantes autenticados pueden enviar IDs de lecciones arbitrarios para cambiar títulos y contenido HTML almacenado o borrar lecciones en su curso y en otros cursos y organizaciones.

Productos y versiones afectadas

• classroomio ClassroomIO

  • hasta 1.0.0

Qué hacer

1. Verificá si usás ClassroomIO y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Baja

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Baja

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

ClassroomIO through 1.0.0 contains an incorrect authorization vulnerability in the PUT and DELETE /:lessonId lesson routes that allows any course member, including students, to modify lessons. Authenticated students can supply arbitrary lesson ids to change titles and stored HTML content or delete lessons in their course and in other courses and organizations.

Referencias

• hackmd.io/@hieuPenguinnn/classroomio-course-resource-id-scoping-idorTHIRD-PARTY-ADVISORY
• github.com/classroomio/classroomio/blob/v1.0.0/apps/api/src/routes/course/lesson.ts#L107-…TECHNICAL-DESCRIPTION
• github.com/classroomio/classroomio/blob/v1.0.0/apps/api/src/middlewares/course-member.tsTECHNICAL-DESCRIPTION
• github.com/classroomio/classroomioPRODUCT
• www.vulncheck.com/advisories/classroomio-through-1.0.0-incorrect-authorization-via-lesson…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 15 OCT · 21:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.