CVE-2026-32892 in LMS
Riassunto
di VulDB • 19/06/2026
Chamilo LMS è un sistema di gestione dell'apprendimento. Prima delle versioni 1.11.38 e 2.0.0-RC.3, Chamilo LMS presenta una vulnerabilità OS Command Injection nella funzione move del file. La funzione move() in fileManage.lib.php passa valori di percorso controllati dall'utente direttamente ai comandi shell exec() senza utilizzare escapeshellarg(). Quando un utente sposta un documento tramite document.php, il parametro POST move_to — che viene filtrato solo da Security::remove_XSS() (un filtro esclusivamente HTML) — viene concatenato direttamente in comandi shell come exec("mv $source $target"). Per impostazione predefinita, Chamilo consente a tutti gli utenti autenticati di creare corsi (allow_users_to_create_courses = true). Qualsiasi utente che sia insegnante in un corso (inclusi i corsi creati autonomamente) può spostare documenti, rendendo questa vulnerabilità sfruttabile da qualsiasi utente autenticato. L'attaccante deve prima posizionare una directory con metacaratteri shell nel nome sul filesystem (realizzabile tramite l'importazione del backup di un corso), quindi spostare un documento in tale directory per innescare l'esecuzione arbitraria di comandi come l'utente del server web (www-data). Questa vulnerabilità è risolta nelle versioni 1.11.38 e 2.0.0-RC.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.