CVE-2023-37066
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w kole umiejętności.
Ocena ryzyka
Atak XSS może prowadzić do kradzieży danych sesji lub wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu systemu.
Rekomendacja
Zaleca się aktualizację Chamilo do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do kont administratorów.
Inne podatności w Chamilo
Zobacz wszystkie- CVE-2023-34960Krytyczne
Podatność na wstrzykiwanie poleceń w komponencie wsConvertPpt systemu Chamilo w wersjach od 1.11.* do 1.11.18. Atakujący może wykonać dowolne polecenia systemowe poprzez wywołanie API SOAP z odpowiednio spreparowaną nazwą pliku PowerPoint.
- CVE-2023-34944Krytyczne
Podatność w komponencie /fileUpload.lib.php systemu Chamilo w wersjach 1.11.* do 1.11.18 umożliwia atakującym przesyłanie dowolnych plików. Wykorzystując spreparowany plik SVG, atakujący może wykonać dowolny kod na serwerze.
- CVE-2026-34239Wysokie
Podatność w Chamilo w wersji 1.11.40 i wcześniejszych. Uwierzytelniony użytkownik zapisany na kurs (student, nauczyciel, DRH) może zdalnie wykonać kod w ścieżce main/inc/ajax/lang.ajax.php, która jest chroniona tylko przez api_protect_course_script(true).
- CVE-2026-33714Wysokie
Chamilo LMS w wersji 2.0.0-RC.2 zawiera podatność na iniekcję SQL w endpointcie AJAX statystyk, która jest niekompletną łatką dla CVE-2026-30881. Parametry date_start i date_end w akcji users_active nie są oczyszczane, co pozwala uwierzytelnionemu administratorowi na wykonanie ślepej iniekcji SQL opartej na czasie i wydobycie dowolnych danych z bazy.
- CVE-2023-39061Niskie
Podatność CSRF w Chamilo w wersjach od 1.11 do 1.11.20 umożliwia zdalnemu, uwierzytelnionemu atakującemu z uprawnieniami wykonanie dowolnego kodu. Luka wynika z braku odpowiednich mechanizmów ochrony przed fałszowaniem żądań między witrynami.
- CVE-2023-37062Średnie
Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w definicji kategorii kursów.
Oryginalny opis (angielski, źródło NVD)
Chamilo 1.11.x up to 1.11.20 allows users with admin privilege account to insert XSS in the skills wheel.