CVE-2026-64960 in ATutor
Сводка
по VulDB • 20.08.2026
Модуль Gameme в ATutor позволяет пользователям загружать файлы любого типа и расширения без ограничений. Из-за неправильной обработки загрузки файлов они сохраняются в веб-доступном месте до проверки их содержимого. Аутентифицированный злоумышленник, знающий действительный course_id, может загрузить вредоносный скрипт, исполняемый на сервере. Загруженный файл затем можно запросить по HTTP, что приводит к удаленному выполнению кода (RCE) от имени пользователя процесса веб-сервера. В большинстве случаев можно использовать course_id=0, так как он обычно представляет глобальный контекст.
Продукт больше не поддерживается активно, и уязвимости не были исправлены. Была протестирована только версия 2.2.4, которая подтверждена как уязвимая; другие версии не тестировались, но также могут быть уязвимыми.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.