Към съдържанието
Търсене

CVE-2026-33704: chamilo-lms, качване на файлове

7.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Chamilo LMS is a learning management system. Prior to 1.11.38, any authenticated user (including students) can write arbitrary content to files on the server via the BigUpload endpoint. The key parameter controls the filename and the raw POST body becomes the file content. While .php extensions are filtered to .phps, the .pht extension passes through unmodified. On Apache configurations where .pht is handled as PHP, this leads to Remote Code Execution. This vulnerability is fixed in 1.11.38.

Засегнати продукти

  • chamilo chamilo-lms: < 1.11.38

Вид слабост

История

  • 10 април 2026 Публикувано

Други уязвимости в chamilo chamilo-lms

Първоизточници

CVE-2026-33704: chamilo-lms, качване на файлове | freedomonline.bg