PT-2026-32917 · Unknown · Chamilo Lms

Aastha2602 · Publicado 2026-04-14 · Atualizado 2026-04-15 · CVE-2026-34161

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Chamilo LMS versões anteriores a 2.0.0-RC.3

Description Um problema de Cross-Site Scripting (XSS) Armazenado existe na funcionalidade de upload de anexos de postagens sociais. Um usuário autenticado pode fazer o upload de um arquivo HTML malicioso contendo JavaScript através do endpoint '/api/social post attachments'. A aplicação serve o arquivo enviado por meio do contentUrl sem sanitização, restrições de tipo de conteúdo ou um cabeçalho Content-Disposition: attachment, permitindo que o JavaScript seja executado no navegador dentro da origem da aplicação. Isso pode levar ao sequestro de sessão, assumir o controle de contas, escalonamento de privilégios caso um administrador visualize o link e a execução de ações arbitrárias em nome da vítima.

Recommendations Atualizar para a versão 2.0.0-RC.3.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-34161

Produtos afetados

Chamilo Lms

Referências · 6

• https://github.com/chamilo/chamilo-lms/security/advisories/GHSA-273p-jw9w-3g22 · Aviso do Fabricante
• https://github.com/chamilo/chamilo-lms/commit/7c4965e48769d1d06413836429e386816a465c7f · Correção
• https://github.com/chamilo/chamilo-lms/releases/tag/v2.0.0-RC.3 · Nota
• https://github.com/chamilo/chamilo-lms/commit/da671d66a146887be3a16eabc5dcf0a92c55f7da · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-34161 · Nota de Segurança
• https://twitter.com/CVEnew/status/2044338926777934154 · Publicação no Twitter