事件经过
种子验证（10月21日发布）：AI评分控制器端点未执行所有权检查，允许任何已认证用户获取对其他学生尝试的AI评分。
影响分析
AI辅助评分是LMS日益增长的功能；缺少按尝试级别的授权，让学生能够通过枚举批量读取/篡改他人的AI评分结果。
攻击途径
已认证用户向open_answer_grade端点发送请求，包含目标exeId/questionId，该端点缺少对考试尝试所有者的授权检查；其他学生的AI评分结果被返回/应用。
受影响系统
Chamilo LMS 2.0.0-alpha.4 – < 2.0.0-RC.3（AiController::openAnswerGrade）
缓解措施
升级到Chamilo 2.0.0-RC.3+或在AiController::openAnswerGrade中应用授权检查。