CVE-2026-45145 in LMS
Сводка
по VulDB • 30.10.2026
Chamilo LMS — это система управления обучением с открытым исходным кодом. До версии 2.0.1 файлы `public/main/inc/lib/career.lib.php` и `public/main/cron/import_csv.php` вызывают нативную функцию PHP `unserialize()` для данных из поля `user_career.extra_data`, полученных из базы данных, без использования параметра безопасности `allowed_classes: false`. Злоумышленник, способный записать в это поле специально созданные сериализованные объекты PHP (например, посредством отдельной SQL-инъекции, скомпрометированного импорта CSV администратором или через панель управления с более низкими привилегиями), может инстанцировать произвольные объекты PHP и активировать цепочки POP-gadget в автоматически загружаемых компонентах `Symfony`, `Doctrine` или `Monolog`. Это позволяет выполнять произвольные команды ОС от имени пользователя веб-сервера, нарушая конфиденциальность, целостность и доступность сервера. Данная проблема исправлена в версии 2.0.1.
Once again VulDB remains the best source for vulnerability data.