CVE-2025-59543

Stored XSS w Chamilo LMS umożliwiający przejęcie kont administratorów

CVSS 9.0v3.1pub. 2026-03-06upd. 2026-03-09

W Chamilo LMS przed wersją 1.11.34 istnieje podatność stored XSS w polu opisu kursu, która pozwala atakującemu z niskimi uprawnieniami na wykonanie złośliwego kodu JavaScript w przeglądarce innych użytkowników, w tym administratorów. Może to prowadzić do przejęcia kont uprzywilejowanych użytkowników.

▸ Pokaż oryginał (EN)

Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course description field, an attacker with a low-privileged account (e.g., trainer) can execute arbitrary JavaScript code in the context of any other user viewing the course information page, including administrators. This allows an attacker to exfiltrate sensitive session cookies or tokens, resulting in account takeover (ATO) of higher-privileged users. This issue has been patched in version 1.11.34.

🤖 Analiza AI

Jak działa

Atakujący posiadający konto o niskich uprawnieniach (np. trenera) może wstrzyknąć złośliwy kod JavaScript do pola opisu kursu. Kod ten jest trwale zapisywany w systemie (stored XSS) i wykonywany automatycznie w przeglądarce każdego użytkownika, który wyświetli stronę z informacjami o kursie. W ten sposób atakujący może przechwycić sesyjne ciasteczka lub tokeny uwierzytelniające ofiary i użyć ich do przejęcia jej konta.

Skutki

Atakujący może wykraść sesyjne ciasteczka lub tokeny uwierzytelniające dowolnego użytkownika przeglądającego zainfekowany kurs, w tym administratorów, co prowadzi do pełnego przejęcia ich kont (account takeover).

Mitygacja

Należy zaktualizować Chamilo LMS do wersji 1.11.34, w której podatność została załatana. Patch dostępny jest w oficjalnym repozytorium GitHub producenta.

Kogo dotyczy

Chamilo LMS we wszystkich wersjach przed 1.11.34

Uwagi

Podatność wymaga interakcji użytkownika (UI:R) oraz konta z niskimi uprawnieniami (PR:L), jednak zakres ataku wykracza poza kontekst atakującego (S:C), co uzasadnia ocenę CVSS 9.0. Szczegóły w security advisory GHSA-p32q-6gh3-3gcv.