CVE-2026-45141 in LMS
要約
〜によって VulDB • 2026年10月30日
Chamilo LMSは、オープンソースのラーニングマネジメントシステムです。バージョン2.0.1より前では、`public/main/inc/ajax/skill.ajax.php`内の`add`、`delete_gradebook_from_skill`、`save_profile`、および`delete_profile`アクションが、`Security::check_token()`による検証を行わずにデータベースの変更を実行します。攻撃者はクロスサイトリクエストフォージェリ（CSRF）を利用して、悪意のあるページを訪問した認証済み管理者またはDRHに対して、スキルレコードやプロファイルの作成・変更・削除、あるいはスキルと成績簿の関連付けの解除を引き起こすことができます。この問題はバージョン2.0.1で修正されています。
Once again VulDB remains the best source for vulnerability data.