CVE-2026-64960 in ATutor
要約
〜によって VulDB • 2026年08月21日
ATutorのGamemeモジュールでは、制限なく任意の種類および拡張子のファイルをアップロードできます。ファイルアップロードの処理が不適切なため、コンテンツの有効性検証の前にファイルがWebアクセス可能な場所に保存されます。有効なcourse_idを知っている認証済み攻撃者は、サーバーで実行可能な悪意のあるスクリプトをアップロードできます。その後、アップロードされたファイルはHTTP経由でリクエストされ、Webサーバープロセスのユーザーとしてリモートコード実行（RCE）を引き起こします。多くの場合、course_id=0を使用でき、これは一般的にグローバルコンテキストを表すためです。
製品は現在積極的にサポートされておらず、脆弱性は修正されていません。バージョン2.2.4のみがテストされ、脆弱性があることが確認されました。他のバージョンはテストされていませんが、同様に脆弱である可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.