CVE-2026-63233
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym assessment overall answer. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszych ataków na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować Koollab LMS do najnowszej wersji, która usuwa te luki, oraz przeprowadzić audyt bezpieczeństwa aplikacji.
Oryginalny opis (angielski, źródło NVD)
A SQL injection and unsafe deserialisation vulnerability in Koollab LMS allowed an authenticated attacker to inject through the assessment overall answer endpoint, control data passed to unserialize(), write a webshell to a publicly accessible location, and execute arbitrary code on the server.