PT-2025-39214 · Chamilo · Chamilo

CVE-2025-59543 · Publicado 2025-09-23 · Atualizado 2026-03-11

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Chamilo anteriores à 1.11.34

Descrição O Chamilo é um sistema de gestão de aprendizagem suscetível a uma vulnerabilidade de cross-site scripting (XSS) armazenado. Um atacante com acesso limitado, como um instrutor, pode injetar JavaScript malicioso no campo de descrição do curso. Isso permite a execução de código JavaScript arbitrário quando outros usuários, incluindo administradores, visualizam a página de informações do curso. A exploração bem-sucedida pode levar ao roubo de cookies de sessão sensíveis ou tokens, resultando potencialmente na tomada de conta (ATO) de usuários com privilégios mais elevados. O parâmetro vulnerável é o campo de descrição do curso.

Recomendações Atualize para a versão 1.11.34 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-59543

GHSA-P32Q-6GH3-3GCV

Produtos afetados

Chamilo

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/59xxx/CVE-2025-59543.json · Exploit
• https://github.com/chamilo/chamilo-lms/releases/tag/v1.11.34 · Nota
• https://github.com/chamilo/chamilo-lms/security/advisories/GHSA-p32q-6gh3-3gcv · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2029779462758203596 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2029873359882965144 · Publicação no Twitter
• https://twitter.com/cyberbivash/status/2029803467489907098 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-59543 · Nota de Segurança
• https://twitter.com/cracbot/status/2031686818987696208 · Publicação no Twitter
• https://twitter.com/prakhar0x01/status/1970548516926927099 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2031035783952371758 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-59543 · Aviso do Fabricante