CVE-2026-64965
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
ATutor jest podatny na brak autoryzacji w punktach końcowych importu testów i pytań. Uwierzytelniony użytkownik z niskimi uprawnieniami (np. student) zapisany na kurs może ominąć kontrolę autoryzacji, wysyłając żądania bezpośrednio do backendowych punktów importu, co umożliwia nieautoryzowany import testów i pytań w ramach kursu. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowani użytkownicy mogą manipulować zawartością kursów, co może prowadzić do naruszenia integralności danych edukacyjnych i zakłócenia procesu nauczania.
Rekomendacja
Zaleca się natychmiastowe wyłączenie lub zastąpienie ATutor bezpieczniejszym rozwiązaniem, ponieważ produkt nie jest wspierany i nie ma dostępnych poprawek. Jeśli to konieczne, ogranicz dostęp do funkcji importu tylko dla zaufanych ról.
Inne podatności w ATutor
Zobacz wszystkie- CVE-2016-10400Wysokie
W ATutor przed wersją 2.2.2 występuje podatność na atak typu Directory Traversal poprzez parametr icon w pliku /mods/_core/courses/users/create_course.php. Atakujący może odczytać dowolny plik, odwiedzając get_course_icon.php?id= po przeprowadzeniu ataku.
- CVE-2016-2539Wysokie
W podatności CVE-2016-2539 w ATutor przed wersją 2.2.2 występuje luka CSRF w pliku install_modules.php, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu przesyłania dowolnych plików oraz wykonywania dowolnego kodu PHP za pomocą spreparowanego pliku zip.
- CVE-2016-2555Krytyczne
Podatność typu SQL injection w pliku include/lib/mysql_connect.inc.php w ATutor 2.2.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą funkcji searchFriends w friends.inc.php.
- CVE-2026-64972Średnie
W systemie ATutor wykryto podatność Reflected XSS w pliku preview.php przez parametr popup. Uwierzytelniony atakujący może wstrzyknąć cudzysłów i dodać handler zdarzeń, taki jak onload, co prowadzi do wykonania skryptu w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64971Średnie
W systemie ATutor wykryto podatność Reflected XSS w funkcji przywracania (restore). Atakujący może dostarczyć specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64970Średnie
W systemie ATutor wykryto podatność Stored XSS w funkcji rejestracji. Atakujący może zarejestrować konto i wprowadzić payload JavaScript w polu telefonu. Gdy uwierzytelniony użytkownik odwiedzi profil atakującego, payload jest wykonywany, co prowadzi do kradzieży ciasteczka sesji. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64969Średnie
W systemie ATutor wykryto podatność typu Insecure Direct Object Reference (IDOR) w punktach końcowych związanych ze zdjęciami profilowymi. Każdy uwierzytelniony użytkownik, w tym student, może podać member_id innego użytkownika w żądaniu POST do punktu końcowego albumu profilowego i trwale usunąć zdjęcie profilowe tego użytkownika, w tym instruktorów i administratorów. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64968Średnie
W systemie ATutor wykryto podatność typu Server-Side Request Forgery (SSRF) w funkcjach importu. Uwierzytelniony administrator może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych punktów HTTP, usług metadanych chmury lub plików lokalnych przez file://, jeśli środowisko PHP zezwala na wrapper URL. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64967Średnie
Podatność typu path traversal w przeglądarce logów błędów ATutor umożliwia atakującemu z uprawnieniami administracyjnymi dostęp do dowolnych plików poza zamierzonym katalogiem logów. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych plików i innych zasobów dostępnych dla procesu serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
- CVE-2026-64966Wysokie
ATutor jest podatny na Path Traversal w funkcji ekstrakcji ZIP. Atakujący z uprawnieniami instruktora może przesłać i rozpakować specjalnie spreparowane archiwum ZIP, powodując zapis plików poza zamierzonym katalogiem ekstrakcji. Umożliwia to umieszczenie pliku .phtml wykonywalnego przez serwer w katalogu głównym i osiągnięcie zdalnego wykonania kodu z uprawnieniami serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione. Przetestowano tylko wersję 2.2.4, która jest potwierdzona jako podatna; inne wersje nie były testowane, ale mogą być również podatne.
Oryginalny opis (angielski, źródło NVD)
ATutor is vulnerable to Missing Authorization Check on Test and Question Import endpoints. A low-privileged authenticated user (e.g. a student) enrolled in a course can bypass authorization checks by sending requests directly to the backend import endpoints, allowing the unauthorized import of tests and questions within a course. Product is no longer actively supported and the vulnerabilities have not been fixed. Only version 2.2.4 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.