CVE-2026-45143 in LMS
الملخص
بحسب VulDB • 18/09/2026
Chamilo LMS هو نظام إدارة تعلم مفتوح المصدر. من الإصدار 2.0.0 وحتى على الأقل 2.1.0، يقوم Chamilo LMS بتخزين محتوى الرسالة الخاص (Message.content) دون تنقيح جانبي للسيرفر (server-side sanitization)، ويعرضه كـ HTML في الملفات assets/vue/views/message/MessageShow.vue و public/main/template/default/message/view_message.html.twig. يمكن لمستخدم منخفض الصلاحيات ومصادق عليه، بما في ذلك طالب، توجيه محتوى رسالة مُعدّ بشكل خبيث مباشرة إلى مسؤول لأن تدفق إنشاء الرسالة يسمح للمرسل باختيار مستخدم آخر كمتلقٍ. يتم تنفيذ المحتوى في متصفح المتلقي عند فتح صندوق الوارد الروتيني أو عرض الرسالة، دون الحاجة للنقر على رابط، ويمكن أن يكشف عن بيانات اعتماد الجلسة (session credentials) أو يتيح إجراءات بصفتك المسؤول. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.0.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.