CVE-2025-65669

🎯 CVE-2025-65669 🧪 PoC 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2025-65669 | An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.

An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.

Klassifikation & Betroffenheit:

CWE-862 n/a n/a n/a

Missing Authorization 🎯 High

The product does not perform an authorization check when an actor attempts to access a resource or perform an action.

🛡️ Empfohlene Mitigation: Divide the product into anonymous, normal, privileged, and administrative areas. Reduce the attack surface by carefully mapping roles with data and functionality. Use role-based access control (RBAC) [REF-229] to enforce the roles at the appropriate boundaries. Note that this approach may not protect against horizontal…

Vollständige Definition bei MITRE ➔

⚔️ Typische Angriffsmuster (CAPEC):

CAPEC-665 · Exploitation of Thunderbolt Protection F… (Very High)

🎯 ATT&CK-Techniken (Kill-Chain-Verhalten):

T1211 · Exploitation for Defensive Evasion T1542.002 · Pre-OS Boot: Component Firmware T1556 · Modify Authentication Process

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-95182 10.0 CVE-2024-34323 10.0 CVE-2025-70518 10.0 CVE-2026-37541 10.0 CVE-2026-36767 10.0

🧪 Exploit-Evidenz:

🐙 Rivek619/CVE-2025-65669

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2025

Veröffentlicht 11/2025

Heute 29.10.

CVSS-Vektor-Analyse: 9.1

AV · Angriffsvektor Netzwerk

AC · Komplexität Gering

PR · Privilegien Keine

UI · Interaktion Keine

S · Scope Unverändert

C · Vertraulichkeit Keine

I · Integrität Hoch

A · Verfügbarkeit Hoch

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Veröffentlicht:26.11.2025

Aktualisiert:05.07.2026 01:20

Assigner (CNA):mitre

EUVD-ID:EUVD-2025-199746

CWE-862 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	742	0,2 %
≥50 %	3.219	0,8 %
≥10 %	22.061	5,8 %
<10 %	354.707	93,2 %

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

9.1 CRITICAL

EPSS

0.5%

CVE-2025-65669 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig

n/a

CVE-2025-65669 | An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.

CWE-862 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 11 Monaten ↻ vor 3 Monaten

🛡️ Details ➔

CVE-2025-65669 | An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.

Zero-Day & Vulnerability Intelligence Hub

CVE-2025-65669 | An issue was discovered in classroomio 0.1.13. Student accounts are able to delete courses from the Explore page without any authorization or authentication checks, bypassing the expected admin-only deletion restriction.