CVE-2026-32892
KrytyczneStreszczenie
Chamilo LMS to system zarządzania nauczaniem, który przed wersjami 1.11.38 i 2.0.0-RC.3 zawiera podatność na wstrzykiwanie poleceń systemowych w funkcji przenoszenia plików. Funkcja move() w pliku fileManage.lib.php przekazuje wartości ścieżek kontrolowane przez użytkownika bezpośrednio do poleceń powłoki exec(), co umożliwia atakującym wykonanie nieautoryzowanych poleceń.
Ocena ryzyka
Podatność ta stwarza ryzyko dla organizacji, ponieważ każdy uwierzytelniony użytkownik, który jest nauczycielem w kursie, może wykorzystać tę lukę do wykonania dowolnych poleceń systemowych. Może to prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Chamilo LMS do wersji 1.11.38 lub 2.0.0-RC.3, aby usunąć tę podatność. Dodatkowo, warto ograniczyć uprawnienia użytkowników do przenoszenia plików oraz monitorować system w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
Chamilo LMS is a learning management system. Prior to 1.11.38 and 2.0.0-RC.3, Chamilo LMS contains an OS Command Injection vulnerability in the file move function. The move() function in fileManage.lib.php passes user-controlled path values directly into exec() shell commands without using escapeshellarg(). When a user moves a document via document.php, the move_to POST parameter — which only passes through Security::remove_XSS() (an HTML-only filter) — is concatenated directly into shell commands such as exec("mv $source $target"). By default, Chamilo allows all authenticated users to create courses (allow_users_to_create_courses = true). Any user who is a teacher in a course (including self-created courses) can move documents, making this vulnerability exploitable by any authenticated user. The attacker must first place a directory with shell metacharacters in its name on the filesystem (achievable via Course Backup Import), then move a document into that directory to trigger arbitra