PT-2026-32917 · Unknown · Chamilo Lms

Aastha2602

·

CVE-2026-34161

·

تاريخ النشر

2026-04-14

·

تاريخ التحديث

2026-04-15

CVSS v3.1

5.4

متوسطة

المتجهAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات نظام إدارة التعلم (LMS) Chamilo الأقدم من 2.0.0-RC.3
الوصف
توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في وظيفة تحميل المرفقات الخاصة بالمنشورات على مواقع التواصل الاجتماعي. يمكن للمستخدم المصادق عليه تحميل ملف HTML ضار يحتوي على جافا سكريبت عبر نقطة النهاية ’/api/social post attachments‘. يقدم التطبيق الملف الذي تم تحميله عبر contentUrl دون تنقية أو قيود على نوع المحتوى أو رأس Content-Disposition: attachment، مما يسمح بتنفيذ JavaScript في المتصفح ضمن مصدر التطبيق. وقد يؤدي ذلك إلى اختطاف الجلسة، والاستيلاء على الحساب، وتصعيد الامتيازات إذا قام أحد المسؤولين بعرض الرابط، وتنفيذ إجراءات تعسفية نيابة عن الضحية.
التوصيات
التحديث إلى الإصدار 2.0.0-RC.3.

استغلال

إصلاح

XSS

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-79

المعرّفات ذات الصلة

CVE-2026-34161
GHSA-273P-JW9W-3G22

المنتجات المتأثرة

Chamilo Lms