漏洞分享 - 台灣智園 Tronclass ilearn存在Broken Access Control漏洞(CVE-2023-24834)

                   

台灣智園 Tronclass ilearn存在Broken Access Control漏洞

(CVE-2023-24834)

一、摘要

        Tronclass ilearn的上傳檔案功能未進行適當的權限控管，遠端攻擊者以一般使用者權限登入後，變更URL中的檔案ID，即可查看其他使用者上傳之檔案。

二、存在風險

          Tronclass ilearn的上傳檔案功能未進行適當的權限控管，遠端攻擊者以一般使用者權限登入後，變更URL中的檔案ID，即可查看其他使用者上傳之檔案，其影響系統或版本如下：

•  台灣智園 Tronclass ilearn app v2.3.2 & Tronclass ilearn web < v1.52.29198

        建議改善措施：請維護廠商協助更新或提出解決方案。

       情資報告連結：https://www.twcert.org.tw/tw/cp-132-6954-ed16b-1.html