CVE-2026-30875 in LMS
Riassunto
di VulDB • 22/06/2026
Chamilo LMS è un sistema di gestione dell'apprendimento (LMS). Prima della versione 1.11.36, una vulnerabilità di caricamento arbitrario di file nella funzione H5P Import consente agli utenti autenticati con il ruolo di Docente di ottenere l'Esecuzione Remota di Codice (RCE). La validazione del pacchetto H5P verifica solo se esiste h5p.json, ma non blocca i file .htaccess o i file PHP con estensioni alternative. Un attaccante carica un pacchetto H5P manipolato contenente una webshell e un file .htaccess che abilita l'esecuzione di PHP per i file .txt, aggirando il controllo di sicurezza. Questo problema è stato risolto nella versione 1.11.36.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.