Lightspeed Classroom CVE-2026-30368 漏洞总结 漏洞概述 漏洞编号：CVE-2026-30368 漏洞类型：弱认证导致未授权远程学生设备控制 发布日期：2026年4月20日 核心问题：攻击者仅需目标学生邮箱和学区客户ID即可远程操控学生设备，无需任何凭证或物理访问权限。 影响范围 受影响产品：Lightspeed Classroom 浏览器扩展（全球数千所学校使用） 攻击条件： - 攻击者无需认证到Lightspeed门户 - 无需控制学区基础设施 - 无需修改受害者设备 - 无需持有Lightspeed颁发的凭证 所需信息： - 学生邮箱地址 - 学区客户ID 技术细节 认证流程缺陷 1. 策略获取：通过POST请求获取包含JWT的策略文件 2. JWT生成：使用WebAssembly文件生成JWT，但存在可被拦截的漏洞 3. Ably连接：利用伪造的JWT连接到Ably实时通信服务 关键漏洞点 JWT生成过程存在缺陷，攻击者可伪造令牌 Ably API密钥和密钥ID可被滥用 客户端认证机制存在缺陷，允许未授权连接 修复方案 1. 加强JWT验证：确保JWT生成和验证过程的安全性 2. 强化API密钥管理：限制API密钥的使用范围和权限 3. 改进认证机制：增加多因素认证或更严格的身份验证 4. 更新WebAssembly代码：修复WASM文件中的安全漏洞 POC代码示例 策略请求代码 JWT载荷示例 Ably连接代码 消息类型示例 tabs消息： closeTab消息： focusTab消息： ta消息： url消息： lock消息： unlock消息：无特定代码示例，但需要 检查