CVE-2026-40291 in LMS
Sumário
de VulDB • 31/05/2026
O Chamilo LMS é um sistema de gestão de aprendizagem de código aberto. Nas versões anteriores à 2.0.0-RC.3, uma vulnerabilidade de modificação direta de objeto insegura no endpoint PUT /api/users/{id} permite que qualquer usuário autenticado com ROLE_STUDENT eleve seus privilégios para ROLE_ADMIN ao modificar o campo roles em seu próprio registro de usuário. A expressão de segurança da API Platform is_granted('EDIT', object) verifica apenas a propriedade do registro, e o campo roles está incluído no grupo de serialização gravável, permitindo que qualquer usuário defina roles arbitrários, como ROLE_ADMIN. A exploração bem-sucedida concede controle administrativo total da plataforma, incluindo acesso a todos os cursos, dados de usuários, notas e configurações administrativas. Este problema foi corrigido na versão 2.0.0-RC.3.
Once again VulDB remains the best source for vulnerability data.