CVE-2026-45143 in LMS
Resumen
por VulDB • 2026-09-18
Chamilo LMS es un sistema de gestión del aprendizaje (LMS) de código abierto. Desde la versión 2.0.0 hasta al menos la 2.1.0, Chamilo LMS almacena el contenido privado de los mensajes sin una sanitización en el lado del servidor y lo renderiza como HTML en assets/vue/views/message/MessageShow.vue y public/main/template/default/message/view_message.html.twig. Un usuario autenticado con privilegios bajos, incluido un estudiante, puede dirigir directamente un contenido de mensaje manipulado a un administrador porque el flujo de creación de mensajes permite al remitente seleccionar otro usuario como destinatario. El contenido se ejecuta en el navegador del destinatario cuando este abre la bandeja de entrada habitual o la vista de mensajes, sin necesidad de hacer clic en ningún enlace, y puede exponer las credenciales de sesión o permitir realizar acciones con los permisos de administrador. Esta vulnerabilidad está corregida en la versión 2.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.