Alunos conseguiam alterar conteúdos oficiais do curso

Alguns alunos enxergavam controles de edição e podiam alterar materiais oficiais do curso, por isso não bastava esconder os botões na tela, era necessário remover a capacidade real e descobrir se algum conteúdo já havia sido modificado.

Antes de alterar qualquer configuração, conferimos se o endereço usado estava correto, se a conta permanecia ativa, qual método de autenticação estava atribuído, quando havia ocorrido o último acesso bem sucedido e se a falha atingia apenas aquele usuário ou todos que dependiam do mesmo serviço, porque redefinir a senha novamente poderia apenas esconder por alguns minutos uma inconsistência de LDAP, SSO, certificado ou cadastro.

Com esse primeiro recorte pronto, reproduzimos o login em uma sessão limpa e acompanhamos os registros gerados desde o envio do formulário até a resposta do provedor de identidade, comparando a conta afetada com outra do mesmo perfil que ainda conseguia entrar e verificando horário, origem, retorno recebido e mudanças recentes na configuração.

Só então as evidências começaram a apontar para a mesma direção, pois o resumo inicial de que uma capacidade concedida indevidamente permitia que estudantes editassem materiais publicados pelos professores. passou a coincidir com uma diferença concreta encontrada no caminho da autenticação, então a correção foi testada primeiro de forma controlada e depois repetida com perfis distintos para garantir que o acesso havia voltado sem abrir permissões além do necessário.

Corrigimos o papel que concedia a permissão, preservamos os registros e comparamos as alterações feitas no período, restaurando o que fosse necessário e testando com contas comuns de estudante, depois revisamos papéis semelhantes para impedir que a mesma capacidade estivesse disponível em outros cursos.