CVE-2026-35196
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W Chamilo LMS przed wersją 2.0.0-RC.3 istnieje podatność na wstrzyknięcie komend OS w endpointcie main/inc/ajax/gradebook.ajax.php w akcji export_all_certificates. Kod kursu z sesji jest bezpośrednio łączony z poleceniem shell_exec() bez sanityzacji, co pozwala na wykonanie dowolnych komend przez manipulację danymi sesji.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do systemu plików, odczytać dane uwierzytelniające, zmodyfikować aplikację i bazę danych lub zakłócić dostępność serwera.
Rekomendacja
Zaktualizuj Chamilo LMS do wersji 2.0.0-RC.3 lub nowszej, która naprawia tę podatność.
Inne podatności w Chamilo LMS
Zobacz wszystkie- CVE-2026-39878Krytyczne
Chamilo LMS w wersjach 1.11.38 i wcześniejszych zawiera podatność przechowywanego skryptowania między witrynami w formularzu rejestracji użytkownika. Nieuwierzytelniony atakujący może wykonać dowolny JavaScript w sesji administratora, prowadząc do pełnego przejęcia konta administratora platformy.
- CVE-2026-40291Wysokie
W Chamilo LMS przed wersją 2.0.0-RC.3 wykryto podatność na niebezpieczną modyfikację obiektów w punkcie końcowym PUT /api/users/{id}. Każdy uwierzytelniony użytkownik z rolą ROLE_STUDENT może eskalować swoje uprawnienia do ROLE_ADMIN poprzez modyfikację pola roles we własnym rekordzie użytkownika.
- CVE-2026-34602Wysokie
Podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w endpointcie /api/course_rel_users w Chamilo LMS w wersjach przed 2.0.0-RC.3. Uwierzytelniony atakujący może zmodyfikować parametr user w żądaniu, aby zapisać dowolnego użytkownika na dowolny kurs bez odpowiedniej autoryzacji. Backend ufa danym wejściowym i nie weryfikuje, czy żądający ma uprawnienia do działania w imieniu innych użytkowników.
- CVE-2026-34370Średnie
Chamilo LMS w wersjach przed 2.0.0-RC.3 zawiera podatność IDOR w module notatek. Uwierzytelniony student może odczytać prywatne notatki dowolnego innego użytkownika, manipulując parametrem notebook_id w akcji editnote. Aplikacja pobiera treść notatki bez weryfikacji własności.
- CVE-2026-34161Średnie
Chamilo LMS to system zarządzania nauczaniem. W wersjach przed 2.0.0-RC.3 występuje podatność na trwałe XSS w funkcji przesyłania załączników do postów społecznościowych. Uwierzytelniony użytkownik może przesłać złośliwy plik HTML zawierający JavaScript przez endpoint /api/social_post_attachments. Plik jest serwowany bez sanityzacji, ograniczeń typu zawartości ani nagłówka Content-Disposition, co powoduje wykonanie JavaScript w kontekście aplikacji. Może to prowadzić do przejęcia sesji, konta, eskalacji uprawnień i innych działań. Problem naprawiono w wersji 2.0.0-RC.3.
- CVE-2026-34160Wysokie
Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność na Server-Side Request Forgery (SSRF) w endpointcie PENS plugin. Endpoint jest dostępny bez uwierzytelnienia i akceptuje parametr package-url, który serwer pobiera bez filtrowania prywatnych adresów IP.
- CVE-2026-33715Wysokie
Chamilo LMS w wersji 2.0-RC.2 ma nieuwierzytelniony dostęp do pliku install.ajax.php, który akceptuje dowolny DSN Symfony Mailer, umożliwiając SSRF do sieci wewnętrznych przez SMTP. Nieuwierzytelniony atakujący może również użyć serwera jako otwartego relayu email.
- CVE-2023-39582Średnie
W podatności SQL Injection w Chamilo LMS w wersjach od 1.11 do 1.11.20, zdalny atakujący z uprawnieniami może uzyskać dostęp do wrażliwych informacji poprzez funkcje importu sesji.
- CVE-2023-31807Średnie
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w funkcji notatek osobistych.
- CVE-2023-31806Średnie
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w funkcji 'My Progress'. Lokalny atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Chamilo LMS is an open-source learning management system. In versions prior to 2.0.0-RC.3, an OS Command Injection vulnerability exists in the main/inc/ajax/gradebook.ajax.php endpoint within the export_all_certificates action, where the course code retrieved from the session variable $_SESSION['_cid'] via api_get_course_id() is concatenated directly into a shell_exec() command string without sanitization or escaping using escapeshellarg(). If an attacker can manipulate or poison their session data to inject shell metacharacters into the _cid variable, they can achieve arbitrary command execution on the underlying server. Successful exploitation grants full access to read system files and credentials, alters the application and database, or disrupts server availability. This issue has been fixed in version 2.0.0-RC.3.