CVE-2026-34602
Açıklama
Chamilo LMS açık kaynaklı bir öğrenim yönetim sistemidir. 2.0.0-RC.3 öncesindeki sürümlerde, /api/course_rel_users uç noktası Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir; bu durum, kimliği doğrulanmış bir saldırganın istek gövdesindeki user parametresini değiştirerek uygun yetkilendirme kontrolleri olmaksızın herhangi bir kullanıcıyı herhangi bir kursa kaydetmesine olanak tanır. Arka uç, user alanı için kullanıcı tarafından sağlanan girdiye güvenir ve isteği yapan kişinin referans verilen kullanıcı kimliğine sahip olduğuna veya diğer kullanıcılar adına işlem yapma izni olduğuna dair sunucu tarafında herhangi bir doğrulama gerçekleştirmez. Bu durum, kullanıcı-kurs ilişkilerinin yetkisiz şekilde manipüle edilmesine yol açarak kurs materyallerine istenmeyen erişim sağlanmasına, kayıt kontrollerinin atlatılmasına ve platform bütünlüğünün bozulmasına neden olabilir. Bu sorun 2.0.0-RC.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chamilo chamilo_lms | v ≤ 1.11.38, 2.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.