CVE-2026-64968
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie ATutor wykryto podatność typu Server-Side Request Forgery (SSRF) w funkcjach importu. Uwierzytelniony administrator może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych punktów HTTP, usług metadanych chmury lub plików lokalnych przez file://, jeśli środowisko PHP zezwala na wrapper URL. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
Ocena ryzyka
Podatność umożliwia dostęp do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych, eskalacji uprawnień lub ataków na inne systemy. Brak wsparcia oznacza brak poprawek.
Rekomendacja
Zaleca się zaprzestanie używania ATutor i migrację do wspieranego systemu. Należy również ograniczyć uprawnienia administratorów i skonfigurować zaporę sieciową.
Inne podatności w ATutor
Zobacz wszystkie- CVE-2016-10400Wysokie
W ATutor przed wersją 2.2.2 występuje podatność na atak typu Directory Traversal poprzez parametr icon w pliku /mods/_core/courses/users/create_course.php. Atakujący może odczytać dowolny plik, odwiedzając get_course_icon.php?id= po przeprowadzeniu ataku.
- CVE-2016-2539Wysokie
W podatności CVE-2016-2539 w ATutor przed wersją 2.2.2 występuje luka CSRF w pliku install_modules.php, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu przesyłania dowolnych plików oraz wykonywania dowolnego kodu PHP za pomocą spreparowanego pliku zip.
- CVE-2016-2555Krytyczne
Podatność typu SQL injection w pliku include/lib/mysql_connect.inc.php w ATutor 2.2.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą funkcji searchFriends w friends.inc.php.
- CVE-2026-64972Średnie
W systemie ATutor wykryto podatność Reflected XSS w pliku preview.php przez parametr popup. Uwierzytelniony atakujący może wstrzyknąć cudzysłów i dodać handler zdarzeń, taki jak onload, co prowadzi do wykonania skryptu w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64971Średnie
W systemie ATutor wykryto podatność Reflected XSS w funkcji przywracania (restore). Atakujący może dostarczyć specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64970Średnie
W systemie ATutor wykryto podatność Stored XSS w funkcji rejestracji. Atakujący może zarejestrować konto i wprowadzić payload JavaScript w polu telefonu. Gdy uwierzytelniony użytkownik odwiedzi profil atakującego, payload jest wykonywany, co prowadzi do kradzieży ciasteczka sesji. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64969Średnie
W systemie ATutor wykryto podatność typu Insecure Direct Object Reference (IDOR) w punktach końcowych związanych ze zdjęciami profilowymi. Każdy uwierzytelniony użytkownik, w tym student, może podać member_id innego użytkownika w żądaniu POST do punktu końcowego albumu profilowego i trwale usunąć zdjęcie profilowe tego użytkownika, w tym instruktorów i administratorów. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona.
- CVE-2026-64967Średnie
Podatność typu path traversal w przeglądarce logów błędów ATutor umożliwia atakującemu z uprawnieniami administracyjnymi dostęp do dowolnych plików poza zamierzonym katalogiem logów. Może to prowadzić do nieautoryzowanego dostępu do wrażliwych plików i innych zasobów dostępnych dla procesu serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
- CVE-2026-64966Wysokie
ATutor jest podatny na Path Traversal w funkcji ekstrakcji ZIP. Atakujący z uprawnieniami instruktora może przesłać i rozpakować specjalnie spreparowane archiwum ZIP, powodując zapis plików poza zamierzonym katalogiem ekstrakcji. Umożliwia to umieszczenie pliku .phtml wykonywalnego przez serwer w katalogu głównym i osiągnięcie zdalnego wykonania kodu z uprawnieniami serwera WWW. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione. Przetestowano tylko wersję 2.2.4, która jest potwierdzona jako podatna; inne wersje nie były testowane, ale mogą być również podatne.
- CVE-2026-64965Średnie
ATutor jest podatny na brak autoryzacji w punktach końcowych importu testów i pytań. Uwierzytelniony użytkownik z niskimi uprawnieniami (np. student) zapisany na kurs może ominąć kontrolę autoryzacji, wysyłając żądania bezpośrednio do backendowych punktów importu, co umożliwia nieautoryzowany import testów i pytań w ramach kursu. Produkt nie jest już aktywnie wspierany, a podatności nie zostały naprawione; przetestowano tylko wersję 2.2.4.
Oryginalny opis (angielski, źródło NVD)
ATutor is vulnerable to Server-Side request forgery in import functionalities. An authenticated administrator can make the server request arbitrary internal HTTP endpoints, cloud metadata services, or local files via file:// if the PHP environment permits URL wrappers. Product is no longer actively supported and the vulnerabilities have not been fixed. Only version 2.2.4 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.