CVE-2026-12789
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W systemie ILIAS Learning Management System 11.0 wykryto podatność na iniekcję SQL w funkcji ilTrQuery::executeQueries pliku class.ilTrQuery.php komponentu śledzenia postępów w nauce. Manipulacja argumentem troup_table_nav umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia, a także do przejęcia kontroli nad systemem.
Rekomendacja
Należy niezwłocznie zaktualizować komponent śledzenia postępów w nauce (ILIAS Tracking) do wersji zawierającej poprawkę dostarczoną przez producenta.
Inne podatności w ILIAS
Zobacz wszystkie- CVE-2026-85135Średnie
W ILIAS do wersji 9.21/10.9/11.2 odkryto lukę w funkcji ilObjMediaObjectGUI::uploadMultipleSubtitleFileObject w komponencie MediaPool, która pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 9.22, 10.10 i 11.3 łagodzi problem.
- CVE-2026-80428Krytyczne
ILIAS przed wersjami 9.22, 10.10 i 11.3 zawiera nieuwierzytelnioną podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie serializowanych obiektów przez punkt końcowy uwierzytelniania LTI i wywołanie deserializacji przez punkt końcowy wylogowania Shibboleth. Atakujący mogą zapisać dowolne serializowane obiekty w magazynie sesji, a następnie wykorzystać dostępny gadżet POP przez nieograniczoną deserializację w punkcie wylogowania, aby zapisać treść PHP kontrolowaną przez atakującego w ścieżce dostępnej z sieci i osiągnąć zdalne wykonanie kodu jako użytkownik serwera WWW.
- CVE-2026-108113Wysokie
ILIAS w wersjach przed 9.24, 10.12 i 11.5 zawiera podatność nieograniczonego przesyłania plików w obsłudze obrazów przy imporcie pytań QTI (ilQtiMatImageSecurity). Uwierzytelnieni autorzy mogą przesłać wykonywalne pliki, a atakujący z uprawnieniami do importu puli pytań może zaimportować spreparowane archiwum zapisujące plik .htaccess i plik PHP do katalogu obrazów serwowanych przez WWW, uzyskując zdalne wykonanie kodu jako użytkownik serwera WWW.
- CVE-2026-107639Wysokie
ILIAS w wersjach przed 9.24, 10.x przed 10.12 oraz 11.x przed 11.5 zawiera podatność na wstrzyknięcie argumentów w assImagemapQuestionGUI. Autorzy pytań mogą wstrzykiwać opcje konwersji ImageMagick poprzez nazwy przesyłanych plików graficznych, co pozwala na zapis pliku PHP w katalogu web root i zdalne wykonanie kodu.
- CVE-2023-32778Niskie
W ILIAS 6.23, 7 przed 7.22 oraz 8.1 wykryto problem umożliwiający atakującemu wykonanie dowolnego kodu poprzez przesłanie pliku ZIP.
- CVE-2026-86416Średnie
ILIAS w wersjach przed 9.23, 10.11 i 11.4 zawiera podatność na obejście autoryzacji w ilObjGroupGUI, gdzie funkcje saveMapSettingsObject() i updateGroupTypeObject() wykonują operacje zmieniające stan bez sprawdzenia uprawnień do zapisu. Uwierzytelnieni użytkownicy z tylko dostępem do odczytu grupy mogą wysyłać żądania POST, aby modyfikować ustawienia mapy grupy i przypisania szablonów dydaktycznych, zmieniając tryby grupy i uprawnienia dla wszystkich członków.
- CVE-2026-82538Wysokie
Podatność na wstrzykiwanie SQL w ILIAS przed wersjami 9.22, 10.10 i 11.3 występuje w tabeli kosza repozytorium, gdzie pole sortowania nawigacji tabeli z żądań HTTP jest przekazywane bezpośrednio do klauzuli ORDER BY zapytania SQL bez walidacji względem zadeklarowanych kolumn sortowalnych. Uwierzytelnieni użytkownicy z uprawnieniami zapisu na dowolnym kontenerze mogą wstrzykiwać dowolny SQL przez parametr sortowania, a ponieważ w warstwie bazy danych włączone jest wykonywanie wielu instrukcji, skumulowane zapytania umożliwiają pełny odczyt i zapis bazy danych oraz przejęcie konta administratora.
- CVE-2026-82877Średnie
ILIAS przed wersjami 9.22, 10.10 i 11.3 zawiera podatność na dowolny odczyt plików w metodzie SOAP addFile, która umożliwia uwierzytelnionym użytkownikom odczyt plików serwera poprzez dostarczenie spreparowanego XML z importami w trybie COPY. Atakujący mogą konstruować bezwzględne ścieżki plików przez nieizolowany katalog importu i pobierać wrażliwe pliki, w tym pliki konfiguracyjne zawierające poświadczenia bazy danych i hasła konfiguracyjne.
- CVE-2023-36484Średnie
ILIAS w wersjach 7.21 oraz 8.0_beta1 do 8.2 jest podatny na odzwierciedlone ataki Cross-Site Scripting (XSS).
- CVE-2023-36488Średnie
ILIAS w wersjach 7.21 oraz 8.0_beta1 do 8.2 jest podatny na przechowywane ataki Cross Site Scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in ILIAS Learning Management System 11.0. This issue affects the function ilTrQuery::executeQueries of the file components/ILIAS/Tracking/classes/class.ilTrQuery.php of the component Learning Progress Tracking. Such manipulation of the argument troup_table_nav leads to sql injection. It is possible to launch the attack remotely. The exploit is publicly available and might be used. It is suggested to upgrade the affected component. This issue was independently identified and fixed internally by the vendor's own security team ahead of this report.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS