PT-2026-32360 · Totara · Totara Lms

Saykino · Publicado 2026-04-13 · Atualizado 2026-04-13 · CVE-2026-31283

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Totara LMS versões anteriores a 19.1.5

Description A API de recuperação de senha não implementa a limitação de taxa (rate limiting) para o endereço de e-mail de destino, o que permite um ataque de Email Bombing. Email Bombing é uma técnica onde um grande volume de e-mails é enviado para um único endereço para sobrecarregar o destinatário ou o servidor de e-mail.

Recommendations Atualize para uma versão posterior a 19.1.5. Como medida paliativa temporária, restrinja o acesso ao endpoint da API de recuperação de senha para minimizar o risco de exploração.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-31283

Produtos afetados

Totara Lms

Referências · 5

• 🔥 https://github.com/saykino/CVE-2026-31283 · Exploit
• https://totara.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-31283 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2043698891153965530 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2043733083640447249 · Publicação no Twitter