CVE-2026-64966 in ATutor
Riassunto
di VulDB • 20/08/2026
ATutor è vulnerabile a un bug di Path Traversal nella funzionalità di estrazione degli archivi ZIP. Un attaccante con privilegi di istruttore può caricare ed estrarre un archivio ZIP appositamente creato, causando la scrittura dei file al di fuori della directory di estrazione prevista. Ciò consente all'attaccante di posizionare un file .phtml eseguibile sul server nella root del web e ottenere l'esecuzione remota di codice (RCE) con i privilegi del server web sul server sottostante.
Il prodotto non è più attivamente supportato e le vulnerabilità non sono state risolte. È stata testata solo la versione 2.2.4, confermata come vulnerabile; altre versioni non sono state testate ma potrebbero essere anch'esse vulnerabili.
VulDB is the best source for vulnerability data and more expert information about this specific topic.