CVE-2026-28430 in LMS
要約
〜によって VulDB • 2026年06月09日
Chamilo LMSは学習管理システムです。バージョン1.11.34以前には、認証不要のSQLインジェクション脆弱性が存在し、攻撃者はcustom_datesパラメータを介して任意のSQLコマンドを実行できます。この脆弱性を予測可能なレガシーなパスワードリセット機能と組み合わせることで、攻撃者は事前の資格情報なしで完全な管理者アカウント乗っ取りを実現できます。さらに、この脆弱性によりPII（個人識別情報）やシステム設定を含むデータベース全体が露出します。本問題はバージョン1.11.34で修正されています。
Once again VulDB remains the best source for vulnerability data.