PT-2022-10768 · Unknown · Chamilo Lms

Publicado 2022-03-21 · Atualizado 2022-03-29 · CVE-2021-38745

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Chamilo LMS versão 1.11.14

Descrição

A vulnerabilidade permite que invasores executem código arbitrário por meio de um plugin malicioso, acionado pela interação do usuário com a página de perfil do invasor. Trata-se de uma vulnerabilidade de injeção de código sem clique.

Recomendações

Para o Chamilo LMS versão 1.11.14, considere desativar a funcionalidade do plugin até que uma correção esteja disponível para impedir a exploração da vulnerabilidade de injeção de código sem clique. Restrinja o acesso à página de perfil do invasor para minimizar o risco de acionar a vulnerabilidade. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2021-38745

Produtos afetados

Chamilo Lms

Referências · 4

• https://support.chamilo.org/projects/chamilo-18/wiki/Security_issues#Issue-81-2021-07-26-High-impact-Low-risk-Zero-Code-RCE-in-admin · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-38745 · Nota de Segurança
• https://t.me/cibsecurity/39349 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38745 · Aviso do Fabricante