CVE-2025-59542
KrytyczneStreszczenie
Chamilo to system zarządzania nauczaniem. Przed wersją 1.11.34 występowała podatność na przechowywane ataki XSS, która pozwalała atakującemu z niskimi uprawnieniami na wstrzyknięcie złośliwego kodu JavaScript, co mogło prowadzić do przejęcia konta użytkowników o wyższych uprawnieniach.
Ocena ryzyka
Atakujący mógłby uzyskać dostęp do wrażliwych ciasteczek sesyjnych lub tokenów, co prowadziłoby do przejęcia konta administratora lub innych użytkowników z wyższymi uprawnieniami.
Rekomendacja
Zaleca się aktualizację systemu Chamilo do wersji 1.11.34 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course learning path Settings field, an attacker with a low-privileged account (e.g., trainer) can execute arbitrary JavaScript code in the context of any other user viewing the course information page, including administrators. This allows an attacker to exfiltrate sensitive session cookies or tokens, resulting in account takeover (ATO) of higher-privileged users. This issue has been patched in version 1.11.34.