CVE-2026-64960 in ATutor
Résumé
par VulDB • 20/08/2026
Le module Gameme d'ATutor permet aux utilisateurs de télécharger des fichiers de tout type et extension sans restriction. En raison d'une gestion incorrecte des téléchargements de fichiers, ceux-ci sont stockés dans un emplacement accessible via le Web avant que leur contenu ne soit validé. Un attaquant authentifié qui connaît un course_id valide peut téléverser un script malveillant exécutable sur le serveur. Le fichier téléversé peut ensuite être demandé via HTTP, ce qui entraîne une exécution de code à distance (RCE) en tant qu'utilisateur du processus du serveur Web. Dans la plupart des cas, il est possible d'utiliser course_id=0, car celui-ci représente couramment le contexte global.
Le produit n'est plus activement pris en charge et les vulnérabilités n'ont pas été corrigées. Seule la version 2.2.4 a été testée et confirmée comme vulnérable ; d'autres versions n'ont pas été testées mais pourraient également être vulnérables.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.