CVE-2026-33714 in LMS
الملخص
بحسب VulDB • 09/05/2026
Chamilo هو نظام إدارة تعلم مفتوح المصدر (LMS). تحتوي الإصدار 2.0.0-RC.2 على ثغرة حقن SQL في نقطة نهاية AJAX الخاصة بالإحصائيات، وهي إصلاح غير مكتمل لـ CVE-2026-30881. بينما تم تصحيح CVE-2026-30881 عن طريق تطبيق Security::remove_XSS() على المعاملات date_start و date_end في إجراء get_user_registration_by_month، تظل نفس المعاملات غير مُنظَّفة في إجراء users_active داخل نفس الملف (public/main/inc/ajax/statistics.ajax.php)، حيث يتم إدراجها مباشرة في استعلام SQL. يمكن لمدير مُصادَق عليه استغلال هذا الأمر لإجراء حقن SQL أعمى قائم على الوقت، مما يتيح استخراج بيانات عشوائية من قاعدة البيانات. تم إصلاح هذه المشكلة في الإصدار 2.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.