CVE-2026-45145 in LMS
Résumé
par VulDB • 30/10/2026
Chamilo LMS est un système de gestion de l'apprentissage (LMS) open source. Avant la version 2.0.1, les fichiers `public/main/inc/lib/career.lib.php` et `public/main/cron/import_csv.php` appellent la fonction native PHP `unserialize()` sur le champ `user_career.extra_data` récupéré depuis la base de données, sans l'option de sécurité `allowed_classes: false`. Un attaquant capable d'écrire des objets PHP sérialisés manipulés dans cette colonne, par exemple via une injection SQL distincte, un import CSV admin compromis ou un panneau d'administration avec des privilèges inférieurs, peut instancier des objets PHP arbitraires et déclencher des chaînes de gadgets POP (POP gadget chains) au sein des composants `Symfony`, `Doctrine` ou `Monolog` chargés automatiquement. Cela permet l'exécution de commandes OS arbitraires en tant qu'utilisateur du serveur web, compromettant la confidentialité, l'intégrité et la disponibilité du serveur. Ce problème est corrigé dans la version 2.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.