CVE-2026-40291
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Chamilo LMS przed wersją 2.0.0-RC.3 wykryto podatność na niebezpieczną modyfikację obiektów w punkcie końcowym PUT /api/users/{id}. Każdy uwierzytelniony użytkownik z rolą ROLE_STUDENT może eskalować swoje uprawnienia do ROLE_ADMIN poprzez modyfikację pola roles we własnym rekordzie użytkownika.
Ocena ryzyka
Udana eksploatacja daje pełną kontrolę administracyjną nad platformą, w tym dostęp do wszystkich kursów, danych użytkowników, ocen i ustawień administracyjnych.
Rekomendacja
Zaktualizuj Chamilo LMS do wersji 2.0.0-RC.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Chamilo LMS
Zobacz wszystkie- CVE-2026-39878Krytyczne
Chamilo LMS w wersjach 1.11.38 i wcześniejszych zawiera podatność przechowywanego skryptowania między witrynami w formularzu rejestracji użytkownika. Nieuwierzytelniony atakujący może wykonać dowolny JavaScript w sesji administratora, prowadząc do pełnego przejęcia konta administratora platformy.
- CVE-2026-35196Wysokie
W Chamilo LMS przed wersją 2.0.0-RC.3 istnieje podatność na wstrzyknięcie komend OS w endpointcie main/inc/ajax/gradebook.ajax.php w akcji export_all_certificates. Kod kursu z sesji jest bezpośrednio łączony z poleceniem shell_exec() bez sanityzacji, co pozwala na wykonanie dowolnych komend przez manipulację danymi sesji.
- CVE-2026-34602Wysokie
Podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w endpointcie /api/course_rel_users w Chamilo LMS w wersjach przed 2.0.0-RC.3. Uwierzytelniony atakujący może zmodyfikować parametr user w żądaniu, aby zapisać dowolnego użytkownika na dowolny kurs bez odpowiedniej autoryzacji. Backend ufa danym wejściowym i nie weryfikuje, czy żądający ma uprawnienia do działania w imieniu innych użytkowników.
- CVE-2026-34370Średnie
Chamilo LMS w wersjach przed 2.0.0-RC.3 zawiera podatność IDOR w module notatek. Uwierzytelniony student może odczytać prywatne notatki dowolnego innego użytkownika, manipulując parametrem notebook_id w akcji editnote. Aplikacja pobiera treść notatki bez weryfikacji własności.
- CVE-2026-34161Średnie
Chamilo LMS to system zarządzania nauczaniem. W wersjach przed 2.0.0-RC.3 występuje podatność na trwałe XSS w funkcji przesyłania załączników do postów społecznościowych. Uwierzytelniony użytkownik może przesłać złośliwy plik HTML zawierający JavaScript przez endpoint /api/social_post_attachments. Plik jest serwowany bez sanityzacji, ograniczeń typu zawartości ani nagłówka Content-Disposition, co powoduje wykonanie JavaScript w kontekście aplikacji. Może to prowadzić do przejęcia sesji, konta, eskalacji uprawnień i innych działań. Problem naprawiono w wersji 2.0.0-RC.3.
- CVE-2026-34160Wysokie
Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność na Server-Side Request Forgery (SSRF) w endpointcie PENS plugin. Endpoint jest dostępny bez uwierzytelnienia i akceptuje parametr package-url, który serwer pobiera bez filtrowania prywatnych adresów IP.
- CVE-2026-33715Wysokie
Chamilo LMS w wersji 2.0-RC.2 ma nieuwierzytelniony dostęp do pliku install.ajax.php, który akceptuje dowolny DSN Symfony Mailer, umożliwiając SSRF do sieci wewnętrznych przez SMTP. Nieuwierzytelniony atakujący może również użyć serwera jako otwartego relayu email.
- CVE-2023-39582Średnie
W podatności SQL Injection w Chamilo LMS w wersjach od 1.11 do 1.11.20, zdalny atakujący z uprawnieniami może uzyskać dostęp do wrażliwych informacji poprzez funkcje importu sesji.
- CVE-2023-31807Średnie
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w funkcji notatek osobistych.
- CVE-2023-31806Średnie
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w funkcji 'My Progress'. Lokalny atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Chamilo LMS is an open-source learning management system. In versions prior to 2.0.0-RC.3, an insecure direct object modification vulnerability in the PUT /api/users/{id} endpoint allows any authenticated user with ROLE_STUDENT to escalate their privileges to ROLE_ADMIN by modifying the roles field on their own user record. The API Platform security expression is_granted('EDIT', object) only verifies record ownership, and the roles field is included in the writable serialization group, enabling any user to set arbitrary roles such as ROLE_ADMIN. Successful exploitation grants full administrative control of the platform, including access to all courses, user data, grades, and administrative settings. This issue has been fixed in version 2.0.0-RC.3.