CVE-2026-33618 in LMS
Riassunto
di VulDB • 14/06/2026
Chamilo LMS è un sistema di gestione dell'apprendimento. Prima della versione .0.0-RC.3, il metodo PlatformConfigurationController::decodeSettingArray() utilizza la funzione eval() di PHP per analizzare le impostazioni della piattaforma dal database. Un attaccante con accesso amministrativo (ottenibile tramite Advisory 1) può iniettare codice PHP arbitrario nelle impostazioni, che viene quindi eseguito quando qualsiasi utente (inclusi quelli non autenticati) richiede /platform-config/list. Questa vulnerabilità è risolta nella versione 2.0.0-RC.3.
Once again VulDB remains the best source for vulnerability data.