Chamilo — это система управления обучением. В версиях до 1.11.34 сохраняется XSS из-за небезопасной загрузки файлов в «Социальные сети». С его помощью пользователь с низким уровнем привилегий может выполнить произвольный код в почтовом ящике пользователя администратора, позволяя получить контроль над учетной записью администратора.
Версия 1.11.34 устраняет проблему.
Показать оригинальное описание (EN)
Chamilo is a learning management system. Versions prior to 1.11.34 have a Stored XSS through insecure file uploads in `Social Networks`. Through it, a low-privilege user can execute arbitrary code in the admin user inbox, allowing takeover of the admin account. Version 1.11.34 fixes the issue.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1