Уязвимости в платформе образования Reezonly LMS поставили под угрозу данные тысяч пользователей

24 декабря, 2025, 18:00

В платформе Reezonly LMS обнаружена цепочка из трёх уязвимостей, позволявшая получить полный административный доступ. Уязвимости включали возможность тайминг-атаки для подбора учётных записей, внедрение XSS-скрипта для перехвата сессии администратора и критическую ошибку в API для повышения привилегий. После ответственного разглашения разработчик устранил все недостатки. Под угрозой могли оказаться данные тысяч пользователей образовательной платформы, подробнее на SecPost.

Freepik

В системе для создания и монетизации образовательных курсов Reezonly LMS обнаружена цепочка из трёх уязвимостей, в совокупности позволявшая получить доступ к административной панели. Как сообщили специалисты компании «Кросс технолоджис», занимавшиеся оценкой защищённости, уязвимости были выявлены в рамках проекта для клиента, использовавшего данную платформу.

Reezonly LMS — это облачная платформа для создания, управления и монетизации онлайн-курсов. Сервис используется различными образовательными организациями и компаниями для обучения. По данным, приведённым в сообщении, платформой пользуются несколько тысяч человек.

Первая уязвимость, классифицированная как имеющая средний уровень опасности, заключалась в недостатках механизма авторизации. Сервис реагировал на запросы с существующими учётными записями дольше, чем с несуществующими, что позволяло проводить тайминг-атаку для подбора реальных логинов. После этого с помощью брутфорс-атаки был подобран уязвимый пароль, что дало злоумышленнику первоначальный доступ в систему.

Вторая уязвимость получила высокий уровень опасности. Она позволяла пользователю с первичным доступом внедрить вредоносный XSS-скрипт в данные своего профиля, такие как имя или фамилия. Как сообщили эксперты, при последующем удалении этой учётной записи администратором скрипт выполнялся, что давало возможность перехватить его сессию.

Третья, наиболее критичная уязвимость, была обнаружена при фаззинг-тестировании API. Сервер демонстрировал аномальное поведение при обработке OPTIONS-запросов, возвращая структурированный ответ и позволяя выполнять действия, требующие прав администратора. Через определённый путь приложение принимало данные от низкопривилегированного пользователя и применяло изменения к любым учётным записям, включая повышение роли обычного пользователя до администратора.

После ответственного разглашения информации разработчик платформы выпустил исправления для всех обнаруженных уязвимостей. По оценкам, под угрозой компрометации могли находиться несколько тысяч пользователей платформы, которую используют различные образовательные организации.