CVE-2023-37062
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w definicji kategorii kursów.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia kontroli nad kontami użytkowników oraz ujawnienia wrażliwych danych.
Rekomendacja
Zaleca się aktualizację Chamilo do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do kont administratorów.
Inne podatności w Chamilo
Zobacz wszystkie- CVE-2023-34960Krytyczne
Podatność na wstrzykiwanie poleceń w komponencie wsConvertPpt systemu Chamilo w wersjach od 1.11.* do 1.11.18. Atakujący może wykonać dowolne polecenia systemowe poprzez wywołanie API SOAP z odpowiednio spreparowaną nazwą pliku PowerPoint.
- CVE-2023-34944Krytyczne
Podatność w komponencie /fileUpload.lib.php systemu Chamilo w wersjach 1.11.* do 1.11.18 umożliwia atakującym przesyłanie dowolnych plików. Wykorzystując spreparowany plik SVG, atakujący może wykonać dowolny kod na serwerze.
- CVE-2026-34239Wysokie
Podatność w Chamilo w wersji 1.11.40 i wcześniejszych. Uwierzytelniony użytkownik zapisany na kurs (student, nauczyciel, DRH) może zdalnie wykonać kod w ścieżce main/inc/ajax/lang.ajax.php, która jest chroniona tylko przez api_protect_course_script(true).
- CVE-2026-33714Wysokie
Chamilo LMS w wersji 2.0.0-RC.2 zawiera podatność na iniekcję SQL w endpointcie AJAX statystyk, która jest niekompletną łatką dla CVE-2026-30881. Parametry date_start i date_end w akcji users_active nie są oczyszczane, co pozwala uwierzytelnionemu administratorowi na wykonanie ślepej iniekcji SQL opartej na czasie i wydobycie dowolnych danych z bazy.
- CVE-2023-39061Niskie
Podatność CSRF w Chamilo w wersjach od 1.11 do 1.11.20 umożliwia zdalnemu, uwierzytelnionemu atakującemu z uprawnieniami wykonanie dowolnego kodu. Luka wynika z braku odpowiednich mechanizmów ochrony przed fałszowaniem żądań między witrynami.
- CVE-2023-37066Średnie
Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w kole umiejętności.
Oryginalny opis (angielski, źródło NVD)
Chamilo 1.11.x up to 1.11.20 allows users with admin privilege account to insert XSS in the course categories' definition.