CVE-2026-25885

PolarLearn: brak uwierzytelnienia w WebSocket czatu grupowego

CVSS 10.0v4.0pub. 2026-02-09upd. 2026-02-20

W aplikacji PolarLearn w wersji 0-PRERELEASE-16 i wcześniejszych punkt końcowy WebSocket czatu grupowego nie wymaga uwierzytelnienia. Pozwala to nieautoryzowanemu użytkownikowi na odczyt i wysyłanie wiadomości do dowolnej grupy, a treści są trwale zapisywane po stronie serwera.

▸ Pokaż oryginał (EN)

PolarLearn is a free and open-source learning program. In 0-PRERELEASE-16 and earlier, the group chat WebSocket at wss://polarlearn.nl/api/v1/ws can be used without logging in. An unauthenticated client can subscribe to any group chat by providing a group UUID, and can also send messages to any group. The server accepts the message and stores it in the group’s chatContent, so this is not just a visual spam issue.

🤖 Analiza AI

Jak działa

Endpoint WebSocket dostępny pod adresem wss://polarlearn.nl/api/v1/ws akceptuje połączenia bez weryfikacji tożsamości użytkownika (brak wymaganego logowania). Atakujący może subskrybować dowolny czat grupowy, podając jedynie UUID grupy, a następnie wysyłać do niego wiadomości. Serwer przyjmuje i zapisuje przesłane treści w polu chatContent danej grupy — nie jest to więc wyłącznie wizualny efekt spamu, lecz trwała modyfikacja danych.

Skutki

Nieuprawniony atakujący może odczytywać całą historię czatów dowolnej grupy oraz zapisywać do niej fałszywe lub złośliwe wiadomości, co prowadzi do naruszenia poufności i integralności danych przechowywanych w systemie.

Mitygacja

Należy zastosować patch dostępny w repozytorium projektu (commit 3ba588fda0d3f8e238483a20772719f27e52e79f) lub zaktualizować aplikację zgodnie z zaleceniami opisanymi w oficjalnym security advisory GHSA-gvjm-5pw7-6c8c na GitHub

Kogo dotyczy

PolarLearn w wersji 0-PRERELEASE-16 oraz wcześniejszych wersjach pre-release

Uwagi

Podatność dotyczy oprogramowania oznaczonego jako PRE-RELEASE (wersja przedprodukcyjna). Pomimo oceny CVSS 10.0, produkt jest bezpłatny i open-source, a w chwili publikacji nie był odnotowany w bazie CISA KEV.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X