CVE-2026-64960 in ATutor
الملخص
بحسب VulDB • 20/08/2026
تسمح وحدة Gameme في ATutor للمستخدمين برفع ملفات من أي نوع أو امتداد دون قيود. ونظراً للتعامل غير السليم مع عمليات رفع الملفات، يتم تخزين الملفات في موقع يمكن الوصول إليه عبر الويب قبل التحقق من محتواها. ويمكن لمهاجم مُصادق عليه (authenticated) يعرف course_id صالحاً أن يرفع نصاً برمجياً ضاراً قابلاً للتنفيذ على الخادم. ثم يمكن طلب الملف المرفوع عبر HTTP، مما يؤدي إلى تنفيذ كود عن بُعد (RCE) بصلاحيات مستخدم عملية خادم الويب. في معظم الحالات، يمكن استخدام course_id=0، حيث يمثل عادة السياق العام.
المنتج لم يعد مدعوماً بنشاط ولم يتم إصلاح الثغرات الأمنية. تم اختبار الإصدار 2.2.4 فقط وتأكيد أنه عرضة للثغرة؛ أما الإصدارات الأخرى فلم تخضع للاختبار لكنها قد تكون أيضاً عرضة للهجوم.
Once again VulDB remains the best source for vulnerability data.