Chamilo LMS: kwetsbaarheid voor ongeauthenticeerde remote code execution (CVE-2026-45140)

Wat is er gebeurd

Er is een kwetsbaarheid in Chamilo LMS openbaar gemaakt waarmee een ongeauthenticeerde aanvaller op afstand willekeurige code kan uitvoeren op de server waarop de software draait. De titel bij de advisory verwijst naar de 'CStudio upload-functionaliteit', maar de officiële advisory-tekst zelf specificeert niet welk endpoint, onderdeel, invoerveld of exploitatiemechanisme precies betrokken is.

Technische oorzaak

De kwetsbaarheid is geclassificeerd als CWE-22, Improper Limitation of a Pathname to a Restricted Directory (path traversal). Dit type kwetsbaarheid stelt een aanvaller doorgaans in staat bestandspaden te manipuleren om buiten een bedoelde map bestanden te lezen of te schrijven. De officiële advisory geeft geen verdere details over het specifieke codepad, de parameter of het exacte mechanisme, waardoor de precieze exploitatietechniek op basis van de beschikbare feiten niet kan worden bevestigd.

Waarom dit belangrijk is

Deze kwetsbaarheid kan door een ongeauthenticeerde aanvaller via het netwerk worden misbruikt, zonder dat enige gebruikersinteractie nodig is, om willekeurige code uit te voeren. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) wijst op een lage aanvalscomplexiteit en een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. Succesvol misbruik kan leiden tot volledige overname van de server waarop Chamilo LMS draait, inclusief toegang tot of manipulatie van opgeslagen gegevens.

Getroffen versies

Chamilo LMS-versies vanaf 0 tot en met 2.0.0 zijn getroffen, zoals gemeld door twee onafhankelijke advisory-bronnen. Versie 2.0.1 verhelpt dit probleem.

Oplossingen en mitigatie

De leverancier heeft versie 2.0.1 van Chamilo LMS uitgebracht, waarmee deze kwetsbaarheid is verholpen. In de beschikbare feiten worden geen alternatieve mitigerende maatregelen beschreven.

Aanbevolen actie

Sitebeheerders en beheerders die Chamilo LMS versie 2.0.0 of ouder gebruiken, wordt aangeraden zo snel mogelijk te updaten naar versie 2.0.1. Gezien het ongeauthenticeerde en op afstand uitvoerbare karakter van deze kwetsbaarheid verdient deze update hoge prioriteit.