- Yama var
- Son 7 gün
- CWE-862
CVE-2026-114390
Chamilo LMS'te AJAX işleyicilerinde yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Chamilo LMS 2.0.0-alpha.1 ile 2.0.0-RC.3 öncesi sürümlerde, public/main/inc/ajax/ altındaki eski AJAX işleyicilerinde yetkilendirme eksikliği bulunmaktadır ve bu durum kullanıcı adlarının ve sertifikaların ifşa edilmesine yol açmaktadır. Kimliği doğrulanmamış veya düşük yetkili kullanıcılar get_users_by_group_course, user_by_all_roles ve export_all_certificates gibi eylemleri çağırarak kullanıcı adlarını ve diğer öğrencilerin sertifika PDF dosyalarını toplayabilmektedir.
Kaynaktaki açıklama (İngilizce)
Chamilo LMS from 2.0.0-alpha.1 before 2.0.0-RC.3 contains a missing authorization vulnerability in legacy AJAX handlers under public/main/inc/ajax/ that exposes user names and certificates. Unauthenticated or low-privileged users can call actions like get_users_by_group_course, user_by_all_roles, and export_all_certificates to harvest user names and other learners' certificate PDFs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| chamilo-lms | ≥ 2.0.0-alpha.1, < 2.0.0-RC.3 | 2.0.0-RC.3 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/2861afd4896ff898a950302f2c00f44726fa6f0a Yama
- github.com/chamilo/chamilo-lms/issues/7671 Üçüncü taraf
- vulncheck.com/….0-rc.3-missing-authorization-in-ajax-handlers Üçüncü taraf
- github.com/chamilo/chamilo-lms/releases/tag/v2.0.0-RC.3 Diğer
- github.com/….0.0-RC.2/public/main/inc/ajax/course.ajax.php Diğer
- github.com/…0-RC.2/public/main/inc/ajax/usergroup.ajax.php Diğer
- github.com/…0-RC.2/public/main/inc/ajax/gradebook.ajax.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.