CVE-2025-59542

Stored XSS w Chamilo LMS — przejęcie kont wyżej uprzywilejowanych użytkowników

CVSS 9.0v3.1pub. 2026-03-06upd. 2026-03-09

W Chamilo LMS przed wersją 1.11.34 istnieje podatność typu stored XSS w polu ustawień ścieżki nauki kursu. Atakujący z kontem o niskich uprawnieniach (np. trenera) może wykonać dowolny kod JavaScript w kontekście innych użytkowników, w tym administratorów, co prowadzi do przejęcia ich kont.

▸ Pokaż oryginał (EN)

Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course learning path Settings field, an attacker with a low-privileged account (e.g., trainer) can execute arbitrary JavaScript code in the context of any other user viewing the course information page, including administrators. This allows an attacker to exfiltrate sensitive session cookies or tokens, resulting in account takeover (ATO) of higher-privileged users. This issue has been patched in version 1.11.34.

🤖 Analiza AI

Jak działa

Atakujący wstrzykuje złośliwy kod JavaScript do pola ustawień ścieżki nauki (learning path Settings) w kursie. Wstrzyknięty kod jest trwale zapisywany w systemie i automatycznie wykonywany w przeglądarce każdego użytkownika, który wyświetli stronę informacyjną kursu. Złośliwy skrypt może wykraść sesyjne pliki cookie lub tokeny uwierzytelniające ofiary, które następnie mogą zostać wykorzystane przez atakującego do przejęcia tożsamości (account takeover — ATO) użytkownika o wyższych uprawnieniach.

Skutki

Atakujący może przejąć konta użytkowników o wyższych uprawnieniach, w tym administratorów, poprzez kradzież ich tokenów sesji lub plików cookie. W konsekwencji uzyskuje pełną kontrolę nad przejętymi kontami oraz potencjalnie nad całą platformą LMS.

Mitygacja

Należy zaktualizować Chamilo LMS do wersji 1.11.34 lub nowszej, w której podatność została naprawiona. Patch dostępny jest w oficjalnym repozytorium GitHub projektu Chamilo.