🟠 CVE-2026-77007: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-77007 betrifft das WordPress-Plugin „HEL Online Classroom: AI-powered Online Classrooms“ in Version 1.0.3 und älter.
Das Plugin weist eine kritische Authentifizierungslücke in einer REST API Route auf, die es unauthentifizierten Benutzern ermöglicht,
auf sensible Konfigurationsdaten zuzugreifen. Hierbei handelt es sich insbesondere um den gemeinsamen geheimen Schlüssel (Shared Secret),
der zur Signierung von API-Anfragen an den verbundenen BigBlueButton-Server verwendet wird.

Betroffene Systeme

Das Plugin „HEL Online Classroom: AI-powered Online Classrooms“ in den Versionen bis 1.0.3 ist betroffen.
Da WordPress-Plugins weit verbreitet sind, können zahlreiche Online-Lernplattformen und Bildungseinrichtungen impaktiert sein,
die dieses Plugin zur Integration von BigBlueButton-Videokonferenzen nutzen.

Technische Details

Die Verwundbarkeit liegt in einer unzureichenden Zugriffskontrolle (CWE-862) auf einen REST API Endpoint.
Das Plugin implementiert keine Authentifizierungs- oder Autorisierungsprüfungen für die betroffene Route.
Dies ermöglicht es Angreifern, die Einstellungen des Plugins auszulesen, ohne sich zu authentifizieren.
Der kritischste Aspekt ist die Offenlegung des Shared Secrets für BigBlueButton, da dieser Schlüssel zur Authentifizierung
und Signierung sämtlicher API-Kommunikation verwendet wird. Mit diesem Secret können Angreifer:

• Unbefugte Videokonferenzen erstellen oder manipulieren
• Authentifizierte API-Anfragen gegenüber dem BigBlueButton-Server fälschen
• Klassensitzungen übernehmen oder stören

Empfohlene Massnahmen

Sofortmassnahmen: Alle Instanzen des Plugins sollten sofort deaktiviert werden, bis ein Sicherheitspatch verfügbar ist.
Das Shared Secret des BigBlueButton-Servers sollte unverzüglich regeneriert werden.
Langfristig: Das Plugin sollte nur nach Verfügbarkeit eines Sicherheits-Updates (Version > 1.0.3) wieder aktiviert werden.
Regelmäßige Überwachung der Plugin-Repository und des Herstellers auf Updates wird empfohlen.

Bewertung

Mit einem CVSS-Score von 7.5 (High) und dem Angriffsvektor Network ist diese Lücke ernst zu nehmen.
Die fehlende Authentifizierung kombiniert mit der Offenlegung von Secrets stellt ein erhebliches Sicherheitsrisiko dar.
Ein Patch ist bislang nicht verfügbar, wodurch organisatorische Massnahmen zur Risikominderung essentiell sind.

„`