Allarme di sicurezza
| Gravità: | Medio |
| Categoria: | Vulnerabilità della verifica dell'e-mail |
| Progetti interessati: | piattaforma edx |
| Reporter: | auto-riferito |
| URL permanente: |
Durante un controllo di sicurezza automatizzato del codice della piattaforma edX, abbiamo scoperto un bug nel processo di verifica e-mail e attivazione dell'account. Questo bug consente a un utente malintenzionato di attivare un account con un indirizzo e-mail non verificato (non valido o di qualcun altro).
Normalmente, un account viene attivato una volta che un utente ha verificato il proprio indirizzo e-mail. L'attivazione consente all'utente di accedere a LMS e di ricevere e-mail dalla piattaforma.
Ti consigliamo vivamente di correggere le tue istanze il prima possibile.
Patch per chi segue da vicino il master:
https://github.com/edx/edx-platform/commit/95c0b50ebebf8e226fb832d0acb8a…
Patch per corniolo a rilascio con nome:
https://github.com/edx/edx-platform/commit/9b1f89d19ad26625859f887b12931…
