CVE-2026-111870: обход аутентификации в Online-Examination-System

В системе онлайн-экзаменов itsmeravitejak Online-Examination-System выявлена уязвимость класса «отсутствие аутентификации» (missing authentication), затрагивающая административную часть приложения. Проблеме присвоен идентификатор CVE-2026-111870, уровень опасности по CVSS — 6.9 (MEDIUM).

Подробности

Уязвимым элементом является функция isAdmin в файле admin/admin.php. Из-за отсутствия должной проверки аутентификации злоумышленник может манипулировать вызовами этой функции и получать доступ к административным возможностям без действительных учётных данных. Атака может быть инициирована удалённо, что существенно расширяет поверхность атаки. Затронуты версии Online-Examination-System вплоть до коммита e6208e630b14657999bbfe4c9912302d2a1e2449. Продукт распространяется по модели непрерывных поставок с плавающими релизами (rolling releases), поэтому конкретные номера уязвимых и исправленных версий недоступны. Эксплойт опубликован открыто и может быть использован для реальных атак. Проект был заблаговременно уведомлён о проблеме через issue-репорт, однако до сих пор не ответил на обращение. Отдельно стоит отметить, что наличие публичного эксплойта и отсутствие реакции мейнтейнеров повышают риск эксплуатации: злоумышленникам не требуется разрабатывать атаку самостоятельно, а исправление на стороне проекта может появиться с задержкой.

Что делать

Поскольку официального патча на момент публикации нет, рекомендуется принять компенсирующие меры:

• Ограничить сетевой доступ к каталогу admin/ и файлу admin/admin.php на уровне веб-сервера или обратного прокси — например, разрешить обращения только с доверенных IP-адресов.
• Внедрить дополнительную аутентификацию и авторизацию перед административными маршрутами (Basic Auth, VPN, корпоративный SSO).
• Отслеживать обращения к административным эндпоинтам в логах веб-сервера и настроить алерты на подозрительную активность.
• Проверить, используется ли продукт в критичных процессах; при возможности рассмотреть альтернативное решение до выхода исправления.
• Следить за обновлениями проекта и оперативно применять патч, когда он появится.

Итог: CVE-2026-111870 — умеренно опасная, но легкодоступная для эксплуатации уязвимость обхода аутентификации в административной панели Online-Examination-System. Публичный эксплойт и молчание мейнтейнеров делают срочные митигации на периметре обязательными.

Источник: CVE Project (cvelistV5)