Podatności Chamilo LMS

W Chamilo LMS od wersji 2.0.0 do co najmniej 2.1.0 prywatna treść wiadomości (Message.content) jest przechowywana bez sanityzacji po stronie serwera i renderowana jako HTML w MessageShow.vue oraz view_message.html.twig. Uwierzytelniony użytkownik o niskich uprawnieniach, w tym student, może wysłać spreparowaną wiadomość do administratora, która wykona się w przeglądarce odbiorcy po otwarciu skrzynki odbiorczej lub widoku wiadomości.

W Chamilo LMS przed wersją 2.0.1 nieuwierzytelniony zdalny atakujący może wykonać dowolny kod na serwerze. Autorytatywne źródło nie wskazuje dotkniętego endpointu, komponentu, danych wejściowych ani mechanizmu wykorzystania.

Chamilo LMS w wersjach 1.11.38 i wcześniejszych zawiera podatność przechowywanego skryptowania między witrynami w formularzu rejestracji użytkownika. Nieuwierzytelniony atakujący może wykonać dowolny JavaScript w sesji administratora, prowadząc do pełnego przejęcia konta administratora platformy.

Chamilo LMS zawiera podatność OS Command Injection w funkcji przenoszenia plików, gdzie wartości ścieżek kontrolowane przez użytkownika są przekazywane bezpośrednio do poleceń powłoki exec() bez escapeshellarg(). Każdy uwierzytelniony użytkownik będący nauczycielem w kursie może przenieść dokument i wywołać wykonanie dowolnego polecenia jako użytkownik serwera web. Podatność naprawiono w wersjach 1.11.38 i 2.0.0-RC.3.

W Chamilo LMS przed wersją 2.0.1 pliki career.lib.php i import_csv.php wywołują natywną funkcję unserialize() na danych user_career.extra_data z bazy bez opcji allowed_classes: false. Atakujący mogący zapisać spreparowane obiekty PHP może wywołać łańcuchy POP gadget w komponentach Symfony, Doctrine lub Monolog, prowadząc do wykonania dowolnych poleceń systemowych. Podatność naprawiono w wersji 2.0.1.

W Chamilo LMS od wersji 2.0.0 do 2.0.1 endpoint GET /user/{username} jest dostępny anonimowo i renderuje sześć edytowalnych pól profilu w bloku {% autoescape false %} bez sanityzacji po stronie serwera. Atakujący z rolą ROLE_STUDENT może umieścić HTML w swoim profilu, który wykonuje się w przeglądarce odwiedzających, w tym administratorów. Podatność naprawiono w wersji 2.0.1.

Chamilo LMS to open-source'owy system zarządzania nauczaniem. Przed wersją 2.0.1 akcje add, delete_gradebook_from_skill, save_profile i delete_profile w public/main/inc/ajax/skill.ajax.php wykonują mutacje bazy danych bez walidacji Security::check_token(). Atakujący może wykorzystać cross-site request forgery, aby zmusić uwierzytelnionego administratora lub DRH odwiedzającego złośliwą stronę do tworzenia, modyfikowania lub usuwania rekordów umiejętności i profili albo usuwania powiązań umiejętności z dziennikiem ocen. Problem naprawiono w wersji 2.0.1.

Chamilo LMS to open-source'owy system zarządzania nauczaniem. W linii 1.x przed 1.11.40 i w linii 2.x przed 2.0.1 wiele wywołań eval() w dołączonych bibliotekach PEAR HTML_QuickForm może wykonać dowolny kod PHP, jeśli nazwy elementów formularza zawierają dane pod wpływem atakującego. Standardowe formularze Chamilo używają zakodowanych na stałe nazw elementów; wykorzystanie wymaga specyficznej dla dewelopera wtyczki lub błędnej konfiguracji, która pozwala danym wejściowym użytkownika dotrzeć do tych nazw elementów. Tam, gdzie ta warunkowa ścieżka istnieje, wpływ może być pełnym przejęciem serwera. Problem naprawiono w wersjach 1.11.40 i 2.0.1.

Chamilo LMS w wersjach od 2.0.0-alpha.1 do przed 2.0.0-RC.3 zawiera podatność braku autoryzacji w starszych handlerach AJAX w katalogu public/main/inc/ajax/. Nieuwierzytelnieni lub nisko uprzywilejowani użytkownicy mogą wywoływać akcje takie jak get_users_by_group_course, user_by_all_roles i export_all_certificates, aby pozyskiwać nazwy użytkowników oraz pliki PDF certyfikatów innych kursantów.

Chamilo LMS od wersji 2.0.0-alpha.4 przed 2.0.0-RC.3 zawiera podatność braku autoryzacji w AiController::openAnswerGrade, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać ocenę AI prób egzaminacyjnych innych studentów. Atakujący mogą wyliczać wartości exeId i questionId wysyłane do punktu końcowego open_answer_grade, aby ujawnić odpowiedzi innych studentów poprzez informację zwrotną i zużyć limit AI.

Chamilo LMS w wersjach pre-release 2.0.0 (od 2.0.0-alpha.1 do przed 2.0.0-RC.3) zawiera podatność braku kontroli dostępu w GradebookController, która pozwala nieuwierzytelnionym użytkownikom modyfikować certyfikaty dziennika ocen. Atakujący może wywołać endpoint set_default_certificate z dowolnym identyfikatorem kursu i dokumentu, aby zmienić konfigurację certyfikatów dla dowolnego kursu.

W Chamilo LMS w funkcji TicketManager::addProject (plik main/inc/lib/TicketManager.php) wykryto podatność typu cross-site scripting wynikającą z manipulacji argumentem Name. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Dostępna jest poprawka.

Chamilo LMS przed wersją 1.11.42 oraz 3.0.0 zawiera podatność typu stored cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwe skrypty do odpowiedzi ankiet poprzez obliczenie deterministycznych kodów zaproszeń i obejście kontroli autoryzacji w punkcie końcowym przesyłania ankiety. Złośliwe skrypty są renderowane w widokach raportowania i wykonują się w sesjach przeglądarki nauczycieli lub administratorów.

W Chamilo LMS przed wersją 2.0.0-RC.3 wykryto podatność na niebezpieczną modyfikację obiektów w punkcie końcowym PUT /api/users/{id}. Każdy uwierzytelniony użytkownik z rolą ROLE_STUDENT może eskalować swoje uprawnienia do ROLE_ADMIN poprzez modyfikację pola roles we własnym rekordzie użytkownika.

W Chamilo LMS przed wersją 2.0.0-RC.3 istnieje podatność na wstrzyknięcie komend OS w endpointcie main/inc/ajax/gradebook.ajax.php w akcji export_all_certificates. Kod kursu z sesji jest bezpośrednio łączony z poleceniem shell_exec() bez sanityzacji, co pozwala na wykonanie dowolnych komend przez manipulację danymi sesji.

Podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w endpointcie /api/course_rel_users w Chamilo LMS w wersjach przed 2.0.0-RC.3. Uwierzytelniony atakujący może zmodyfikować parametr user w żądaniu, aby zapisać dowolnego użytkownika na dowolny kurs bez odpowiedniej autoryzacji. Backend ufa danym wejściowym i nie weryfikuje, czy żądający ma uprawnienia do działania w imieniu innych użytkowników.

Chamilo LMS w wersjach przed 2.0.0-RC.3 zawiera podatność IDOR w module notatek. Uwierzytelniony student może odczytać prywatne notatki dowolnego innego użytkownika, manipulując parametrem notebook_id w akcji editnote. Aplikacja pobiera treść notatki bez weryfikacji własności.

Chamilo LMS to system zarządzania nauczaniem. W wersjach przed 2.0.0-RC.3 występuje podatność na trwałe XSS w funkcji przesyłania załączników do postów społecznościowych. Uwierzytelniony użytkownik może przesłać złośliwy plik HTML zawierający JavaScript przez endpoint /api/social_post_attachments. Plik jest serwowany bez sanityzacji, ograniczeń typu zawartości ani nagłówka Content-Disposition, co powoduje wykonanie JavaScript w kontekście aplikacji. Może to prowadzić do przejęcia sesji, konta, eskalacji uprawnień i innych działań. Problem naprawiono w wersji 2.0.0-RC.3.

Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność na Server-Side Request Forgery (SSRF) w endpointcie PENS plugin. Endpoint jest dostępny bez uwierzytelnienia i akceptuje parametr package-url, który serwer pobiera bez filtrowania prywatnych adresów IP.

Chamilo LMS w wersji 2.0-RC.2 ma nieuwierzytelniony dostęp do pliku install.ajax.php, który akceptuje dowolny DSN Symfony Mailer, umożliwiając SSRF do sieci wewnętrznych przez SMTP. Nieuwierzytelniony atakujący może również użyć serwera jako otwartego relayu email.

W Chamilo LMS przed wersjami 1.11.38 i 2.0.0-RC.3 wiele plików używa funkcji simplexml_load_string() bez ochrony przed XXE. Z flagą LIBXML_NOENT możliwe jest odczytanie dowolnych plików serwera.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 2.0.0-RC.3 każdy uwierzytelniony użytkownik (w tym ROLE_STUDENT) może wyliczyć wszystkich użytkowników platformy i uzyskać dostęp do danych osobowych (e-mail, telefon, role) poprzez GET /api/users, w tym kont administratorów. Podatność została naprawiona w wersji 2.0.0-RC.3.

Chamilo LMS to system zarządzania nauczaniem. Przed wersją 1.11.38 endpoint REST API get_user_info_from_username zwraca dane osobowe (e-mail, imię, nazwisko, ID użytkownika, status aktywności) dowolnego użytkownika każdemu uwierzytelnionemu użytkownikowi, w tym studentom. Brak sprawdzania autoryzacji. Podatność została naprawiona w wersji 1.11.38.

Chamilo LMS przed wersją 1.11.38 umożliwia nieuwierzytelniony dostęp do plików szablonów Twig (.tpl) w katalogu /main/template/default/ poprzez żądania HTTP GET. Szablony te ujawniają wewnętrzną logikę aplikacji, nazwy zmiennych, adresy URL punktów końcowych AJAX oraz strukturę panelu administracyjnego.

Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność IDOR w endpoincie /social-network/personal-data/{userId}, pozwalającą każdemu uwierzytelnionemu użytkownikowi uzyskać pełne dane osobowe i tokeny API dowolnych użytkowników poprzez modyfikację parametru userId. Prowadzi to do masowego ujawnienia danych i poświadczeń.

Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność Insecure Direct Object Reference (IDOR) w punkcie końcowym REST API stats. Każdy uwierzytelniony użytkownik (w tym student z niskimi uprawnieniami ROLE_USER) może odczytać postępy w nauce, certyfikaty i oceny z dziennika dowolnego innego użytkownika dla dowolnego kursu, bez zapisania na kurs i bez relacji nadzorczej.

Chamilo LMS przed wersjami 1.11.38 i 2.0.0-RC.3 zawiera podatność Open Redirect na stronie edycji sesji kursu. Atakujący może przekierować uwierzytelnionego administratora na dowolny zewnętrzny adres URL po zapisaniu zmian przypisania coacha, a przekierowanie ujawnia parametr id_session serwerowi atakującego.

Chamilo LMS przed wersją 2.0.0-RC.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w panelu administracyjnym listy pytań ćwiczeń. Kod paginacji łączy wszystkie parametry $_GET przez array_merge() i wypisuje wynik przez http_build_query() bezpośrednio do atrybutów href w HTML bez kodowania htmlspecialchars(), co pozwala na wykonanie dowolnego JavaScriptu w przeglądarce uwierzytelnionego nauczyciela.

Chamilo LMS od wersji 1.11.0 do 2.0-beta.1 umożliwia każdemu wywołanie złośliwego przekierowania poprzez użycie parametru redirect w /login. Podatność została naprawiona w wersji 2.0-beta.2.

W podatności SQL Injection w Chamilo LMS w wersjach od 1.11 do 1.11.20, zdalny atakujący z uprawnieniami może uzyskać dostęp do wrażliwych informacji poprzez funkcje importu sesji.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w funkcji notatek osobistych.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w funkcji 'My Progress'. Lokalny atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona lokalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego kodu za pomocą funkcji strony głównej.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry kategorii kursu do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez parametry sekwencjonowania zasobów.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry skype i linedin_url do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametr koła umiejętności (skills wheel) do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametr tytułu forum do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.

W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w parametrze ogłoszeń systemowych. Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

W systemie Chamilo LMS w wersji 1.11.14 wykryto podatność na atak typu Cross Site Scripting (XSS) w pliku /plugin/jcapture/applet.php. Atakujący może wykorzystać tę lukę, przekazując w ciasteczku (cookie) zakodowany w hex ciąg znaków.