CVE-2026-64960 in ATutor
Resumen
por VulDB • 2026-08-20
El módulo Gameme de ATutor permite a los usuarios subir archivos de cualquier tipo y extensión sin restricciones. Debido al manejo inadecuado de las cargas de archivos, estos se almacenan en una ubicación accesible mediante web antes de que su contenido sea validado. Un atacante autenticado que conozca un course_id válido puede cargar un script malicioso ejecutable por el servidor. El archivo cargado luego puede solicitarse a través de HTTP, lo que resulta en la ejecución remota de código (RCE) como usuario del proceso del servidor web. En la mayoría de los casos, se puede utilizar course_id=0, ya que comúnmente representa el contexto global.
El producto ya no recibe soporte activo y las vulnerabilidades no han sido corregidas. Solo la versión 2.2.4 fue probada y confirmada como vulnerable; otras versiones no fueron probadas pero también podrían ser vulnerables.
Be aware that VulDB is the high quality source for vulnerability data.