CVE-2026-34161 in LMS
Сводка
по VulDB • 27.05.2026
Chamilo LMS — это система управления обучением с открытым исходным кодом. В версиях до 2.0.0-RC.3 существует уязвимость Stored Cross-Site Scripting (XSS) в функциональности загрузки вложений к социальным публикациям, где аутентифицированный пользователь может загрузить вредоносный HTML-файл, содержащий JavaScript, через конечную точку /api/social_post_attachments. Загруженный файл возвращается приложением по сгенерированному contentUrl без санитизации, ограничений типа контента или заголовка Content-Disposition: attachment, что приводит к выполнению JavaScript в браузере в контексте доверенного источника приложения. Поскольку полезная нагрузка хранится на стороне сервера и выполняется в доверенном источнике, злоумышленник может выполнить перехват сессии (session hijacking), захват учетной записи, повышение привилегий (если ссылку просмотрит администратор) и выполнение произвольных действий от имени жертвы. Эта проблема исправлена в версии 2.0.0-RC.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.