CVE-2026-82538
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie SQL w ILIAS przed wersjami 9.22, 10.10 i 11.3 występuje w tabeli kosza repozytorium, gdzie pole sortowania nawigacji tabeli z żądań HTTP jest przekazywane bezpośrednio do klauzuli ORDER BY zapytania SQL bez walidacji względem zadeklarowanych kolumn sortowalnych. Uwierzytelnieni użytkownicy z uprawnieniami zapisu na dowolnym kontenerze mogą wstrzykiwać dowolny SQL przez parametr sortowania, a ponieważ w warstwie bazy danych włączone jest wykonywanie wielu instrukcji, skumulowane zapytania umożliwiają pełny odczyt i zapis bazy danych oraz przejęcie konta administratora.
Ocena ryzyka
Organizacja narażona jest na pełną kompromitację bazy danych ILIAS, w tym kradzież danych, modyfikację treści i przejęcie kont administratorów. Podatność może być wykorzystana przez uwierzytelnionych użytkowników z uprawnieniami zapisu, co zwiększa ryzyko wewnętrznych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację ILIAS do wersji 9.22, 10.10 lub 11.3 (w zależności od używanej gałęzi) lub nowszych. Do czasu aktualizacji należy ograniczyć uprawnienia zapisu na kontenerach i monitorować nietypowe żądania HTTP z parametrami sortowania.
Inne podatności w ILIAS
Zobacz wszystkie- CVE-2026-85135Średnie
W ILIAS do wersji 9.21/10.9/11.2 odkryto lukę w funkcji ilObjMediaObjectGUI::uploadMultipleSubtitleFileObject w komponencie MediaPool, która pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 9.22, 10.10 i 11.3 łagodzi problem.
- CVE-2026-80428Krytyczne
ILIAS przed wersjami 9.22, 10.10 i 11.3 zawiera nieuwierzytelnioną podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie serializowanych obiektów przez punkt końcowy uwierzytelniania LTI i wywołanie deserializacji przez punkt końcowy wylogowania Shibboleth. Atakujący mogą zapisać dowolne serializowane obiekty w magazynie sesji, a następnie wykorzystać dostępny gadżet POP przez nieograniczoną deserializację w punkcie wylogowania, aby zapisać treść PHP kontrolowaną przez atakującego w ścieżce dostępnej z sieci i osiągnąć zdalne wykonanie kodu jako użytkownik serwera WWW.
- CVE-2023-32778Niskie
W ILIAS 6.23, 7 przed 7.22 oraz 8.1 wykryto problem umożliwiający atakującemu wykonanie dowolnego kodu poprzez przesłanie pliku ZIP.
- CVE-2026-86416Średnie
ILIAS w wersjach przed 9.23, 10.11 i 11.4 zawiera podatność na obejście autoryzacji w ilObjGroupGUI, gdzie funkcje saveMapSettingsObject() i updateGroupTypeObject() wykonują operacje zmieniające stan bez sprawdzenia uprawnień do zapisu. Uwierzytelnieni użytkownicy z tylko dostępem do odczytu grupy mogą wysyłać żądania POST, aby modyfikować ustawienia mapy grupy i przypisania szablonów dydaktycznych, zmieniając tryby grupy i uprawnienia dla wszystkich członków.
- CVE-2026-82877Średnie
ILIAS przed wersjami 9.22, 10.10 i 11.3 zawiera podatność na dowolny odczyt plików w metodzie SOAP addFile, która umożliwia uwierzytelnionym użytkownikom odczyt plików serwera poprzez dostarczenie spreparowanego XML z importami w trybie COPY. Atakujący mogą konstruować bezwzględne ścieżki plików przez nieizolowany katalog importu i pobierać wrażliwe pliki, w tym pliki konfiguracyjne zawierające poświadczenia bazy danych i hasła konfiguracyjne.
- CVE-2026-12789Średnie
W systemie ILIAS Learning Management System 11.0 wykryto podatność na iniekcję SQL w funkcji ilTrQuery::executeQueries pliku class.ilTrQuery.php komponentu śledzenia postępów w nauce. Manipulacja argumentem troup_table_nav umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.
- CVE-2023-36484Średnie
ILIAS w wersjach 7.21 oraz 8.0_beta1 do 8.2 jest podatny na odzwierciedlone ataki Cross-Site Scripting (XSS).
- CVE-2023-36488Średnie
ILIAS w wersjach 7.21 oraz 8.0_beta1 do 8.2 jest podatny na przechowywane ataki Cross Site Scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
ILIAS before versions 9.22, 10.10, and 11.3 contains a SQL injection vulnerability in the repository trash table where the table navigation sort field from HTTP requests is passed directly into the ORDER BY clause of a SQL query without validation against declared sortable columns. Authenticated users with write permission on any container can inject arbitrary SQL through the sort parameter, and because multi-statement execution is enabled in the database layer, stacked queries enable full database read and write access as well as administrator account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS