PT-2020-7229 · Unknown · Chamilo Lms

Publicado 2020-02-08 · Atualizado 2020-02-12 · CVE-2012-4029

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do Chamilo LMS anteriores à 1.8.8.6

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS). Essa vulnerabilidade permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro category name na ação “addsentcategory”. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado.

Recomendações

Para versões anteriores à 1.8.8.6, atualize para a versão 1.8.8.6 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso ao parâmetro category name no endpoint da API afetado até que um patch esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2012-4029

Produtos afetados

Chamilo Lms

Referências · 5

• 🔥 https://packetstormsecurity.com/files/115927/Chamilo-1.8.8.4-XSS-File-Deletion.html · Exploit
• https://t.me/cibsecurity/9716 · Publicação no Telegram
• http://support.chamilo.org/attachments/download/2863/chamilo-1.8.8.4-to-1.8.8.6.patch · Aviso do Fabricante
• https://support.chamilo.org/projects/chamilo-18/wiki/Security_issues#Issue-7-2012-07-16-Moderate-risk-Several-moderate-security-flaws · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2012-4029 · Nota de Segurança