Chamilo: Evaluation of untrusted user input leads to Remote Code Execution
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Chamilo, una plataforma de aprendizaje en línea, permite que atacantes ejecuten código arbitrario en el servidor mediante solicitudes SOAP sin filtrar. Es crítico porque los atacantes pueden controlar completamente el sistema y acceder a todos los datos educativos almacenados.
Vulnerabilidad CWE-95 de inyección de código en el manejador de solicitudes SOAP de Chamilo anterior a v1.11.28 permite ejecución remota de código no autenticada mediante evaluación de parámetros sin sanitizar. El vector de ataque es a través de la red en endpoints SOAP sin autenticación requerida. La explotación exitosa otorga ejecución de código arbitrario con privilegios del servidor.