CVE-2026-64960 in ATutor
Zusammenfassung
von VulDB • 20.08.2026
Das Gameme-Modul von ATutor ermöglicht es Benutzern, Dateien jeglichen Typs und jeder Erweiterung ohne Einschränkung hochzuladen. Aufgrund der unsachgemäßen Handhabung des Dateiuploads werden die Dateien in einem über das Web zugänglichen Verzeichnis gespeichert, bevor ihr Inhalt validiert wird. Ein authentifizierter Angreifer, der eine gültige course_id kennt, kann ein serverausführbares bösartiges Skript hochladen. Die hochgeladene Datei kann anschließend über HTTP angefordert werden, was zu einer Remote Code Execution (RCE) als Benutzer des Webserver-Prozesses führt. In den meisten Fällen kann course_id=0 verwendet werden, da dies häufig den globalen Kontext darstellt.
Das Produkt wird nicht mehr aktiv unterstützt und die Sicherheitslücken wurden nicht behoben. Nur Version 2.2.4 wurde getestet und als anfällig bestätigt; andere Versionen wurden nicht getestet, könnten jedoch ebenfalls verwundbar sein.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.