CVE-2026-45143 in LMS
Zusammenfassung
von VulDB • 18.09.2026
Chamilo LMS ist ein Open-Source-Lernmanagementsystem (LMS). Von der Version 2.0.0 bis mindestens 2.1.0 speichert Chamilo LMS private Message.content ohne serverseitige Sanitization und rendert diese als HTML in assets/vue/views/message/MessageShow.vue sowie public/main/template/default/message/view_message.html.twig. Ein authentifizierter Benutzer mit niedrigen Berechtigungen, einschließlich eines Studenten, kann gezielt eine manipulierte Nachricht an einen Administrator senden, da der Nachrichten-Erstellungsprozess es dem Absender ermöglicht, einen anderen Benutzer als Empfänger auszuwählen. Der Inhalt wird im Browser des Empfängers ausgeführt, wenn dieser den regulären Posteingang oder die Ansicht einer Nachricht öffnet, ohne dass ein Link-Klick erforderlich ist; dies kann zur Offenlegung von Session-Credentials führen oder Aktionen in der Rolle des Administrators ermöglichen. Diese Schwachstelle wurde in Version 2.0.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.