CVE-2026-63239
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność na zakodowane na stałe poświadczenia AWS IAM w Koollab LMS umożliwiała atakującemu dostęp do współdzielonych wielodostępnych zasobników S3 i kolejek SQS, ujawniając wrażliwe dane oraz umożliwiając wstrzykiwanie złośliwych treści, manipulację zadaniami lub przechwytywanie e-maili.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych, naruszenie integralności systemu oraz potencjalne ataki na inne usługi chmurowe.
Rekomendacja
Natychmiast zmień zakodowane na stałe poświadczenia AWS, zastosuj zarządzanie sekretami (np. AWS Secrets Manager) i zaktualizuj Koollab LMS.
Inne podatności w Koollab LMS
Zobacz wszystkie- CVE-2026-63234Krytyczne
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym manual mark assessment. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
- CVE-2026-63233Krytyczne
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym assessment overall answer. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
- CVE-2026-63232Krytyczne
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym assessment reinforcement. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
- CVE-2026-63230Krytyczne
Koollab LMS zawiera lukę SQL injection opartą na błędzie przed uwierzytelnieniem w punkcie końcowym SCORM report. Nieuwierzytelniony atakujący może odczytać wrażliwe dane z bazy danych, w tym dane osobowe, dane uwierzytelniające i ważne tokeny JWT, co może umożliwić przejęcie konta.
- CVE-2026-63229Krytyczne
Koollab LMS zawiera lukę blind SQL injection przed uwierzytelnieniem w punkcie końcowym SSO OAuth. Nieuwierzytelniony atakujący może wykorzystać czasowy oracle SQL do odczytania wrażliwych danych z bazy, w tym danych osobowych, danych uwierzytelniających i ważnych tokenów JWT, co może umożliwić przejęcie konta.
- CVE-2026-63227Krytyczne
Koollab LMS zawiera lukę związaną z nieograniczonym przesyłaniem plików SCORM. Uwierzytelniony projektant modułu może przesłać pakiet SCORM zawierający webshella PHP do publicznie dostępnego katalogu i wykonać dowolny kod na serwerze.
- CVE-2026-63242Średnie
LMS Koollab zawiera podatność w logice biznesowej, która umożliwia uwierzytelnionemu uczniowi ustawienie statusu ukończenia lekcji na 'ukończone' za pomocą punktu końcowego SCORM commit bez przeglądania materiału lekcyjnego, co narusza integralność szkoleń i rekordów ukończenia.
- CVE-2026-63241Niskie
Podatność na niebezpieczne bezpośrednie odwołanie do obiektu w Koollab LMS umożliwiała uwierzytelnionemu użytkownikowi odczytanie postępu ukończenia kursu dowolnego innego użytkownika bez autoryzacji, ujawniając prywatne informacje o postępie nauki.
- CVE-2026-63240Średnie
Podatność na ujawnienie informacji w Koollab LMS umożliwiała uwierzytelnionemu uczniowi uzyskanie poprawnych odpowiedzi z quizu z punktu końcowego statusu kursu bez ukończenia oceny w sposób zgodny z przeznaczeniem, co narusza integralność ocen.
- CVE-2026-63238Średnie
Podatność na pominięcie uwierzytelniania w Koollab LMS umożliwiała nieuwierzytelnionemu atakującemu przejęcie dowolnego konta, w tym administratorów, poprzez podanie prawidłowego UUID użytkownika bez podawania podstawowych poświadczeń w punkcie końcowym walidacji 2FA.
Oryginalny opis (angielski, źródło NVD)
A hard-coded AWS IAM credentials vulnerability in Koollab LMS allowed an attacker to access shared multi-tenant S3 buckets and SQS queues, exposing sensitive data and enabling malicious content injection, job manipulation, or email interception.