CVE-2026-64960
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Moduł Gameme w ATutor umożliwia użytkownikom przesyłanie plików dowolnego typu i rozszerzenia bez ograniczeń. Z powodu nieprawidłowego obsługiwania przesyłanych plików, pliki są przechowywane w lokalizacji dostępnej przez sieć przed walidacją ich zawartości. Uwierzytelniony atakujący, znający ważny course_id, może przesłać złośliwy skrypt wykonywalny przez serwer. Przesłany plik może być następnie żądany przez HTTP, co skutkuje zdalnym wykonaniem kodu jako użytkownik procesu serwera WWW. W większości przypadków można użyć course_id=0, ponieważ zwykle reprezentuje on kontekst globalny. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione. Przetestowano tylko wersję 2.2.4, która jest potwierdzona jako podatna; inne wersje nie były testowane, ale mogą być również podatne.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia kontroli nad serwerem i naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się zaprzestanie używania ATutor, ponieważ nie jest już wspierany i nie ma poprawek. Jeśli to konieczne, należy ograniczyć dostęp do systemu i monitorować go pod kątem podejrzanych działań.
Inne podatności w ATutor
Zobacz wszystkie- CVE-2016-10400Wysokie
W ATutor przed wersją 2.2.2 występuje podatność na atak typu Directory Traversal poprzez parametr icon w pliku /mods/_core/courses/users/create_course.php. Atakujący może odczytać dowolny plik, odwiedzając get_course_icon.php?id= po przeprowadzeniu ataku.
- CVE-2016-2539Wysokie
W podatności CVE-2016-2539 w ATutor przed wersją 2.2.2 występuje luka CSRF w pliku install_modules.php, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu przesyłania dowolnych plików oraz wykonywania dowolnego kodu PHP za pomocą spreparowanego pliku zip.
- CVE-2016-2555Krytyczne
Podatność typu SQL injection w pliku include/lib/mysql_connect.inc.php w ATutor 2.2.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą funkcji searchFriends w friends.inc.php.
- CVE-2026-64972Średnie
W systemie ATutor wykryto podatność Reflected XSS w pliku preview.php przez parametr popup. Uwierzytelniony atakujący może wstrzyknąć cudzysłów i dodać handler zdarzeń, taki jak onload, co prowadzi do wykonania skryptu w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64971Średnie
W systemie ATutor wykryto podatność Reflected XSS w funkcji przywracania (restore). Atakujący może dostarczyć specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64970Średnie
W systemie ATutor wykryto podatność Stored XSS w funkcji rejestracji. Atakujący może zarejestrować konto i wprowadzić payload JavaScript w polu telefonu. Gdy uwierzytelniony użytkownik odwiedzi profil atakującego, payload jest wykonywany, co prowadzi do kradzieży ciasteczka sesji. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64969Średnie
W systemie ATutor wykryto podatność typu Insecure Direct Object Reference (IDOR) w punktach końcowych związanych ze zdjęciami profilowymi. Każdy uwierzytelniony użytkownik, w tym student, może podać member_id innego użytkownika w żądaniu POST do punktu końcowego albumu profilowego i trwale usunąć zdjęcie profilowe tego użytkownika, w tym instruktorów i administratorów. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64968Średnie
W systemie ATutor wykryto podatność typu Server-Side Request Forgery (SSRF) w funkcjach importu. Uwierzytelniony administrator może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych punktów HTTP, usług metadanych chmury lub plików lokalnych przez file://, jeśli środowisko PHP zezwala na wrapper URL. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64967Średnie
Podatność typu path traversal w przeglądarce logów błędów ATutor umożliwia atakującemu z uprawnieniami administracyjnymi dostęp do dowolnych plików poza zamierzonym katalogiem logów. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych plików i innych zasobów dostępnych dla procesu serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
- CVE-2026-64966Wysokie
ATutor jest podatny na Path Traversal w funkcji ekstrakcji ZIP. Atakujący z uprawnieniami instruktora może przesłać i rozpakować specjalnie spreparowane archiwum ZIP, powodując zapis plików poza zamierzonym katalogiem ekstrakcji. Umożliwia to umieszczenie pliku .phtml wykonywalnego przez serwer w katalogu głównym i osiągnięcie zdalnego wykonania kodu z uprawnieniami serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione. Przetestowano tylko wersję 2.2.4, która jest potwierdzona jako podatna; inne wersje nie były testowane, ale mogą być również podatne.
Oryginalny opis (angielski, źródło NVD)
ATutor Gameme module allows users to upload files of any type and extension without restriction. Due to improper handling of file uploads, files are stored in a web-accessible location before their content is validated. An authenticated attacker who knows a valid course_id can upload a server-executable malicious script. The uploaded file can then be requested over HTTP, resulting in remote code execution as the web server process user. In most cases, course_id=0 can be used, as it commonly represents the global context. Product is no longer actively supported and the vulnerabilities have not been fixed. Only version 2.2.4 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.