CVE-2026-64966
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
ATutor jest podatny na Path Traversal w funkcji ekstrakcji ZIP. Atakujący z uprawnieniami instruktora może przesłać i rozpakować specjalnie spreparowane archiwum ZIP, powodując zapis plików poza zamierzonym katalogiem ekstrakcji. Umożliwia to umieszczenie pliku .phtml wykonywalnego przez serwer w katalogu głównym i osiągnięcie zdalnego wykonania kodu z uprawnieniami serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione. Przetestowano tylko wersję 2.2.4, która jest potwierdzona jako podatna; inne wersje nie były testowane, ale mogą być również podatne.
Ocena ryzyka
Atakujący z uprawnieniami instruktora może uzyskać zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia kontroli nad serwerem i naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się zaprzestanie używania ATutor, ponieważ nie jest już wspierany i nie ma poprawek. Jeśli to konieczne, należy ograniczyć dostęp do systemu i monitorować go pod kątem podejrzanych działań.
Inne podatności w ATutor
Zobacz wszystkie- CVE-2016-10400Wysokie
W ATutor przed wersją 2.2.2 występuje podatność na atak typu Directory Traversal poprzez parametr icon w pliku /mods/_core/courses/users/create_course.php. Atakujący może odczytać dowolny plik, odwiedzając get_course_icon.php?id= po przeprowadzeniu ataku.
- CVE-2016-2539Wysokie
W podatności CVE-2016-2539 w ATutor przed wersją 2.2.2 występuje luka CSRF w pliku install_modules.php, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu przesyłania dowolnych plików oraz wykonywania dowolnego kodu PHP za pomocą spreparowanego pliku zip.
- CVE-2016-2555Krytyczne
Podatność typu SQL injection w pliku include/lib/mysql_connect.inc.php w ATutor 2.2.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą funkcji searchFriends w friends.inc.php.
- CVE-2026-64972Średnie
W systemie ATutor wykryto podatność Reflected XSS w pliku preview.php przez parametr popup. Uwierzytelniony atakujący może wstrzyknąć cudzysłów i dodać handler zdarzeń, taki jak onload, co prowadzi do wykonania skryptu w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64971Średnie
W systemie ATutor wykryto podatność Reflected XSS w funkcji przywracania (restore). Atakujący może dostarczyć specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64970Średnie
W systemie ATutor wykryto podatność Stored XSS w funkcji rejestracji. Atakujący może zarejestrować konto i wprowadzić payload JavaScript w polu telefonu. Gdy uwierzytelniony użytkownik odwiedzi profil atakującego, payload jest wykonywany, co prowadzi do kradzieży ciasteczka sesji. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64969Średnie
W systemie ATutor wykryto podatność typu Insecure Direct Object Reference (IDOR) w punktach końcowych związanych ze zdjęciami profilowymi. Każdy uwierzytelniony użytkownik, w tym student, może podać member_id innego użytkownika w żądaniu POST do punktu końcowego albumu profilowego i trwale usunąć zdjęcie profilowe tego użytkownika, w tym instruktorów i administratorów. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64968Średnie
W systemie ATutor wykryto podatność typu Server-Side Request Forgery (SSRF) w funkcjach importu. Uwierzytelniony administrator może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych punktów HTTP, usług metadanych chmury lub plików lokalnych przez file://, jeśli środowisko PHP zezwala na wrapper URL. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64967Średnie
Podatność typu path traversal w przeglądarce logów błędów ATutor umożliwia atakującemu z uprawnieniami administracyjnymi dostęp do dowolnych plików poza zamierzonym katalogiem logów. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych plików i innych zasobów dostępnych dla procesu serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
- CVE-2026-64965Średnie
ATutor jest podatny na brak autoryzacji w punktach końcowych importu testów i pytań. Uwierzytelniony użytkownik z niskimi uprawnieniami (np. student) zapisany na kurs może ominąć kontrolę autoryzacji, wysyłając żądania bezpośrednio do backendowych punktów importu, co umożliwia nieautoryzowany import testów i pytań w ramach kursu. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
Oryginalny opis (angielski, źródło NVD)
ATutor is vulnerable to a Path Traversal vulnerability in ZIP extraction functionality. An attacker with instructor privileges can upload and extract a specially crafted ZIP archive, causing files to be written outside the intended extraction directory. This allows an attacker to place a server-executable .phtml file in the web root and achieve remote code execution with web server privileges on the underlying server. Product is no longer actively supported and the vulnerabilities have not been fixed. Only version 2.2.4 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.