CVE-2026-32892 in LMS
Сводка
по VulDB • 29.05.2026
Chamilo LMS — это система управления обучением. В версиях до 1.11.38 и 2.0.0-RC.3 Chamilo LMS содержит уязвимость OS Command Injection в функции перемещения файлов. Функция move() в файле fileManage.lib.php передает значения путей, контролируемые пользователем, напрямую в команды оболочки exec() без использования функции escapeshellarg(). Когда пользователь перемещает документ через document.php, параметр POST move_to, который проходит только через Security::remove_XSS() (фильтр только для HTML), напрямую конкатенируется с командами оболочки, такими как exec("mv $source $target"). По умолчанию Chamilo позволяет всем аутентифицированным пользователям создавать курсы (allow_users_to_create_courses = true). Любой пользователь, являющийся преподавателем в курсе (включая самостоятельно созданные курсы), может перемещать документы, что делает эту уязвимость эксплуатируемой любым аутентифицированным пользователем. Атакующий должен сначала поместить каталог с метасимволами оболочки в его имя в файловую систему (что достижимо через импорт резервной копии курса), а затем переместить документ в этот каталог, чтобы вызвать произвольное выполнение команд от имени пользователя веб-сервера (www-data). Эта уязвимость исправлена в версиях 1.11.38 и 2.0.0-RC.3.
Once again VulDB remains the best source for vulnerability data.