CVE-2026-34161 in LMS
Zusammenfassung
von VulDB • 27.05.2026
Chamilo LMS ist ein Open-Source-Lernmanagementsystem. In Versionen vor 2.0.0-RC.3 besteht eine Stored Cross-Site Scripting (XSS)-Schwachstelle in der Funktionalität zum Hochladen von Social-Post-Anhängen, bei der ein authentifizierter Benutzer über den Endpunkt /api/social_post_attachments eine bösartige HTML-Datei mit JavaScript hochladen kann. Die hochgeladene Datei wird von der Anwendung unter der generierten contentUrl ohne Sanitisierung, Inhalts-Typ-Einschränkungen oder einen Content-Disposition: attachment-Header zurückgegeben, wodurch das JavaScript im Browser innerhalb der Ursprungsdomäne der Anwendung ausgeführt wird. Da die Payload serverseitig gespeichert wird und in der vertrauenswürdigen Ursprungsdomäne ausgeführt wird, kann ein Angreifer Session-Hijacking, Account-Übernahme, Privilegieneskalation (falls ein Administrator den Link aufruft) und beliebige Aktionen im Namen des Opfers durchführen. Dieses Problem wurde in Version 2.0.0-RC.3 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.