CVE-2026-44344 in LMS
Riassunto
di VulDB • 30/10/2026
Chamilo LMS è un sistema di gestione dell'apprendimento open-source. Nella serie 1.x precedente alla versione 1.11.40 e nella serie 2.x precedente alla versione 2.0.1, chiamate multiple a `eval()` nelle librerie PEAR vendute (`HTML_QuickForm`) possono eseguire codice PHP arbitrario se i nomi degli elementi del modulo contengono dati influenzati dall'attaccante. I moduli standard di Chamilo utilizzano nomi di elemento hardcoded; lo sfruttamento richiede un plugin specifico per gli sviluppatori o una configurazione errata che consenta all'input dell'utente di raggiungere tali nomi di elemento. Dove esiste tale percorso condizionale, l'impatto può comportare la compromissione completa del server. Questo problema è risolto nelle versioni 1.11.40 e 2.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.