CVE-2026-34602

إصدارات نظام إدارة التعلم (LMS) Chamilo الأقدم من 2.0.0-RC.3

يوجد ثغرة أمنية من نوع «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في نقطة النهاية ’/api/course rel users‘. يمكن لمهاجم تمت مصادقته تعديل المعلمة user في نص الطلب لتسجيل أي مستخدم عشوائي في أي دورة تدريبية. يحدث هذا لأن الخلفية تثق في المدخلات التي يقدمها المستخدم لحقل user دون إجراء تحقق من جانب الخادم للتأكد من أن الطالب يمتلك الأذونات اللازمة للتصرف نيابة عن مستخدمين آخرين. وهذا يسمح بالتلاعب غير المصرح به بعلاقات المستخدمين بالدورات التدريبية، مما قد يؤدي إلى تجاوز ضوابط التسجيل ومنح وصول غير مقصود إلى مواد الدورة التدريبية.

قم بالتحديث إلى الإصدار 2.0.0-RC.3.