CVE-2026-32892

Name of the Vulnerable Software and Affected Versions Chamilo LMS versões anteriores a 1.11.38 e 2.0.0-RC.3

Description O Chamilo LMS contém uma vulnerabilidade de Injeção de Comando de Sistema Operacional na função de movimentação de arquivos. A função move() em fileManage.lib.php passa valores de caminho controlados pelo usuário diretamente para comandos shell exec() sem sanitização adequada. Especificamente, o parâmetro POST move to, após apenas filtragem HTML com Security::remove XSS(), é concatenado em comandos shell como exec("mv $source $target"). Um usuário autenticado que seja professor em um curso pode mover documentos, potencialmente levando à execução arbitrária de comandos como o usuário do servidor web (www-data). Um invasor pode conseguir isso primeiro colocando um diretório com metacaracteres shell em seu nome no sistema de arquivos e, em seguida, movendo um documento para esse diretório.

Recommendations Atualize para a versão 1.11.38 ou 2.0.0-RC.3 ou posterior do Chamilo LMS.