인도 19세 보안 연구원 Nisarga Adhikary가 올해 2월 인도 중앙중등교육위원회(CBSE) 온라인 채점 시스템(OSM)에서 5가지 심각한 취약점을 발견했으며, 즉시 인도 컴퓨터 비상 대응팀(CERT-In)에 신고했으나 3개월 동안 실질적인 답변을 받지 못하자 5월에 공개적으로 공개했다. 취약점은 다음과 같다: 프론트엔드 JavaScript 패키지에 평문으로 하드코딩된 마스터 비밀번호(이를 이용해 이중 인증을 우회하고 임의의 시험관 계정에 직접 로그인 가능), OTP 검증 로직이 전적으로 브라우저 클라이언트 측에서 완료되며 서버가 응답 본문에 OTP 평문을 그대로 반환, Angular 라우팅 계층에 제로 인증 가드(아무나 채점 대시보드 등 내부 페이지로 직접 이동 가능), 비밀번호 변경 API가 기존 비밀번호를 확인하지 않음, 그리고 API 시스템 전반에 걸친 체계적인 안전하지 않은 직접 객체 참조(IDOR) 취약점 — 이러한 결함들을 조합하면 임의의 시험관 계정을 완전히 장악하고 수백만 수험생의 답안 점수를 조작할 수 있다. 해당 연구원은 방금 고등학교 졸업 학력을 마쳤으며, 이번 시스템은 전 인도 2만 8천여 개 학교의 12학년 답안 채점 절차와 관련되어 있다.
사태가 확산된 후 CBSE는 취약점의 존재를 공식 부인하고 해당 도메인을 "테스트 환경"으로 규정했지만, 연구원은 즉시 프로덕션 데이터 스크린샷, 해당 URL이 포함된 CBSE 공식 이메일, 취약점 악용 화면 녹화, 3월 사이트 아카이브 등 여러 증거를 제시하며 반박했다. 동일한 마스터 비밀번호가 Onmark 플랫폼 산하 다른 교육 기관의 JS 패키지에서도 발견되었다. 인터넷 자유 재단(IFF)이 이 건과 관련해 인도 교육부 및 CERT-In에 서한을 보냈으며, BBC, India Today, NDTV 등 10여 개 매체가 후속 보도했다. Adhikary는 또한 5월 하순에 해당 포털에서 SQL 인젝션 취약점을 발견해 별도로 신고했다.