PT-2025-39654 · Chamilo · Chamilo

Publicado 2025-05-13 · Atualizado 2026-03-07 · CVE-2025-52998

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Chamilo anteriores à 1.11.30

Descrição O Chamilo é um sistema de gestão da aprendizagem. Em versões anteriores à 1.11.30, a aplicação realiza uma desserialização de dados que pode ser falsificada. Um atacante pode criar objetos de classes arbitrárias e controlar totalmente suas propriedades, potencialmente modificando a lógica da aplicação web. O problema relaciona-se a falhas no mecanismo de desserialização de arquivos PHP Archive (PHAR). Um atacante pode modificar remotamente a lógica da aplicação usando objetos especialmente elaborados.

Recomendações Atualize para a versão 1.11.30 ou posterior.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2025-11697

CVE-2025-52998

GHSA-6MWG-2MW5-RX5V

Produtos afetados

Chamilo

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/52xxx/CVE-2025-52998.json · Exploit
• https://github.com/chamilo/chamilo-lms/releases/tag/v1.11.30 · Nota
• https://github.com/chamilo/chamilo-lms/security/advisories/GHSA-6mwg-2mw5-rx5v · Aviso do Fabricante
• https://github.com/chamilo/chamilo-lms/commit/ba7e15d8cfefcd451de939e98d461b17e72eb627 · Correção
• https://twitter.com/cracbot/status/2029874841927700932 · Publicação no Twitter
• https://twitter.com/cracbot/status/2030237136730120673 · Publicação no Twitter
• https://twitter.com/cracbot/status/2029512382188581073 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-11697 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-52998 · Nota de Segurança
• https://twitter.com/TheHackerWire/status/2028908212024689026 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-52998 · Aviso do Fabricante