Die Seite The Daily WTF veröffentlichte eine Geschichte von Ellis Morning, basierend auf einer Einsendung des Lesers Jared B. Jared arbeitete ein Jahr lang als Lehrplan-Autor bei einer Ed-Tech-Firma, die von einem Maschinenbauprofessor namens Harry gegründet wurde. Harry hatte in den 1990er-Jahren einen C-Interpreter entwickelt und hielt ihn Jahrzehnte später noch für zukunftsweisende Technologie; darauf baute er einen Mathe- und Informatik-Lehrplan für Schulen von der Grundschule bis zur Oberstufe auf.

Als Chromebooks die Windows-Rechner in Klassenzimmern verdrängten, ergänzte Harry eine browserbasierte IDE, behielt aber für Schulen mit Windows-Computern einen "Lokal ausführen"-Button bei. Ein Klick darauf installierte einen Hintergrunddienst, der beim Systemstart einen Websocket-Server auf Port 12345 mit einem Endpunkt namens execute_c_program startete. Der Endpunkt nahm einen String mit C-Code entgegen und reichte ihn direkt an den Interpreter weiter, inklusive Unterstützung für Funktionen wie execv().

Der Endpunkt war völlig ungeschützt: Jede beliebige Website konnte heimlich Code an localhost:12345 senden und so, sobald ein Opfer die präparierte Seite öffnete, Remotecodeausführung erreichen. Schlimmer noch, der Server lauschte auf 0.0.0.0, sodass jedes Gerät im selben Netzwerk direkt zugreifen konnte, ganz ohne Phishing. Die Lücke blieb jahrelang unentdeckt, während die Software auf tausenden schuleigenen Rechnern im ganzen Bundesstaat lief; Harry hatte als Entwickler ausschließlich seine eigenen Doktoranden beschäftigt.

Jared dokumentierte und demonstrierte die Schwachstelle gegenüber Harry, der zwar eine neue Version mit dem Changelog-Vermerk "Sicherheitsverbesserungen" veröffentlichte, Schul- und Distriktverantwortliche aber nie über die Dringlichkeit eines Updates informierte. Jared meldete zudem einen separaten Cookie-Diebstahl-Exploit, der Daten von Schülern und Lehrern gefährdete, sowie eine Code-Injection auf einer weiteren Firmenseite, auf der mathematische Ausdrücke serverseitig ungefiltert per eval() ausgewertet wurden; die Ausnutzung offenbarte tausende Transaktionsdatensätze mit im Klartext gespeicherten Kreditkartennummern.

Das Unternehmen ist weiterhin aktiv und wurde kürzlich in ein TIME-Ranking der besten US-Ed-Tech-Firmen aufgenommen. Der Admin-Zugang des Büro-Routers, so Jared, läuft bis heute mit den googelbaren Standard-Zugangsdaten.