CVE-2026-63242
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
LMS Koollab zawiera podatność w logice biznesowej, która umożliwia uwierzytelnionemu uczniowi ustawienie statusu ukończenia lekcji na 'ukończone' za pomocą punktu końcowego SCORM commit bez przeglądania materiału lekcyjnego, co narusza integralność szkoleń i rekordów ukończenia.
Ocena ryzyka
Uczniowie mogą sztucznie zaliczać kursy bez rzeczywistego uczestnictwa, co podważa wiarygodność certyfikatów i raportów szkoleniowych.
Rekomendacja
Należy zaktualizować system Koollab LMS do wersji zawierającej poprawkę oraz wdrożyć dodatkową weryfikację ukończenia lekcji po stronie serwera.
Inne podatności w Koollab LMS
Zobacz wszystkie- CVE-2026-63234Krytyczne
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym manual mark assessment. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
- CVE-2026-63233Krytyczne
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym assessment overall answer. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
- CVE-2026-63232Krytyczne
Koollab LMS zawiera lukę SQL injection i niebezpiecznej deserializacji w punkcie końcowym assessment reinforcement. Uwierzytelniony atakujący może wstrzykiwać zapytania SQL, kontrolować dane przekazywane do funkcji unserialize(), zapisać webshella w publicznie dostępnej lokalizacji i wykonać dowolny kod na serwerze.
- CVE-2026-63230Krytyczne
Koollab LMS zawiera lukę SQL injection opartą na błędzie przed uwierzytelnieniem w punkcie końcowym SCORM report. Nieuwierzytelniony atakujący może odczytać wrażliwe dane z bazy danych, w tym dane osobowe, dane uwierzytelniające i ważne tokeny JWT, co może umożliwić przejęcie konta.
- CVE-2026-63229Krytyczne
Koollab LMS zawiera lukę blind SQL injection przed uwierzytelnieniem w punkcie końcowym SSO OAuth. Nieuwierzytelniony atakujący może wykorzystać czasowy oracle SQL do odczytania wrażliwych danych z bazy, w tym danych osobowych, danych uwierzytelniających i ważnych tokenów JWT, co może umożliwić przejęcie konta.
- CVE-2026-63227Krytyczne
Koollab LMS zawiera lukę związaną z nieograniczonym przesyłaniem plików SCORM. Uwierzytelniony projektant modułu może przesłać pakiet SCORM zawierający webshella PHP do publicznie dostępnego katalogu i wykonać dowolny kod na serwerze.
- CVE-2026-63241Niskie
Podatność na niebezpieczne bezpośrednie odwołanie do obiektu w Koollab LMS umożliwiała uwierzytelnionemu użytkownikowi odczytanie postępu ukończenia kursu dowolnego innego użytkownika bez autoryzacji, ujawniając prywatne informacje o postępie nauki.
- CVE-2026-63240Średnie
Podatność na ujawnienie informacji w Koollab LMS umożliwiała uwierzytelnionemu uczniowi uzyskanie poprawnych odpowiedzi z quizu z punktu końcowego statusu kursu bez ukończenia oceny w sposób zgodny z przeznaczeniem, co narusza integralność ocen.
- CVE-2026-63239Średnie
Podatność na zakodowane na stałe poświadczenia AWS IAM w Koollab LMS umożliwiała atakującemu dostęp do współdzielonych wielodostępnych zasobników S3 i kolejek SQS, ujawniając wrażliwe dane oraz umożliwiając wstrzykiwanie złośliwych treści, manipulację zadaniami lub przechwytywanie e-maili.
- CVE-2026-63238Średnie
Podatność na pominięcie uwierzytelniania w Koollab LMS umożliwiała nieuwierzytelnionemu atakującemu przejęcie dowolnego konta, w tym administratorów, poprzez podanie prawidłowego UUID użytkownika bez podawania podstawowych poświadczeń w punkcie końcowym walidacji 2FA.
Oryginalny opis (angielski, źródło NVD)
A business logic vulnerability in Koollab LMS allowed an authenticated learner to set their lesson completion status to completed via the SCORM commit endpoint without viewing the lesson material, compromising training and completion records.