CVE-2025-50197highCWE-78

CVE-2025-50197: fallo de gravedad alta en chamilo-lms

Chamilo: OS Command Injection in /main/admin/sub_language_ajax.inc.php via POST new_language parameter

Publicada el

Seguir esta CVE+ Monitorear chamilo-lms

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.1epss 3.0%
En resumen

Chamilo, un sistema de gestión del aprendizaje, tiene una vulnerabilidad que permite a los atacantes ejecutar comandos peligrosos del sistema en el servidor a través de la página de configuración de idiomas. Esto ocurre porque la entrada del usuario no se verifica adecuadamente antes de ser ejecutada.

Detalle técnico

Inyección de comandos del sistema operativo en /main/admin/sub_language_ajax.inc.php donde el parámetro POST 'new_language' se pasa sin sanitización a la ejecución de comandos del sistema. Un atacante autenticado puede inyectar metacaracteres de shell para lograr ejecución remota de código con privilegios del servidor. Corregido en la versión 1.11.30.

Resumen generado y traducido por IA a partir de la descripción oficial.
Chamilo is a learning management system. Prior to version 1.11.30, there is an OS Command Injection vulnerability in /main/admin/sub_language_ajax.inc.php via the POST new_language parameter. This issue has been patched in version 1.11.30.
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
chamilo · chamilo-lms
CVEs relacionadas — chamilo-lms

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-50196HIGHChamilo: OS Command Injection in /plugin/vchamilo/views/editinstance.php via POST main_database parameterEPSS 3.1%CVE-2025-50194HIGHChamilo: OS Command Injection in /main/cron/lang/check_parse_lang.phpEPSS 3.0%CVE-2025-50195HIGHChamilo: OS Command Injection in /plugin/vchamilo/views/manage.controller.phpEPSS 3.0%CVE-2025-50193HIGHChamilo: OS command Injection in /plugin/vchamilo/views/import.php with the POST to_main_database parameterEPSS 3.0%CVE-2026-35196HIGHChamilo LMS has OS Command Injection via export_all_certificates actionEPSS 1.8%CVE-2026-32892CRITICALOS Command Injection in Chamilo LMS 1.11.36EPSS 1.6%