Plataforma
php
Componente
totara-lms
Corregido en
13.0.1
13.1.1
13.2.1
13.3.1
13.4.1
13.5.1
13.6.1
13.7.1
13.8.1
13.9.1
13.10.1
13.11.1
13.12.1
13.13.1
13.14.1
13.15.1
13.16.1
13.17.1
13.18.1
13.19.1
13.20.1
13.21.1
13.22.1
13.23.1
13.24.1
13.25.1
13.26.1
13.27.1
13.28.1
13.29.1
13.30.1
13.31.1
13.32.1
13.33.1
13.34.1
13.35.1
13.36.1
13.37.1
13.38.1
13.39.1
13.40.1
13.41.1
13.42.1
13.43.1
13.44.1
13.45.1
14.0.1
14.1.1
14.2.1
14.3.1
14.4.1
14.5.1
14.6.1
14.7.1
14.8.1
14.9.1
14.10.1
14.11.1
14.12.1
14.13.1
14.14.1
14.15.1
14.16.1
14.17.1
14.18.1
14.19.1
14.20.1
14.21.1
14.22.1
14.23.1
14.24.1
14.25.1
14.26.1
14.27.1
14.28.1
14.29.1
14.30.1
14.31.1
14.32.1
14.33.1
14.34.1
14.35.1
14.36.1
14.37.1
15.0.1
15.1.1
15.2.1
15.3.1
15.4.1
15.5.1
15.6.1
15.7.1
15.8.1
15.9.1
15.10.1
15.11.1
15.12.1
15.13.1
15.14.1
15.15.1
15.16.1
15.17.1
15.18.1
15.19.1
15.20.1
15.21.1
15.22.1
15.23.1
15.24.1
15.25.1
15.26.1
15.27.1
15.28.1
15.29.1
15.30.1
15.31.1
15.32.1
16.0.1
16.1.1
16.2.1
16.3.1
16.4.1
16.5.1
16.6.1
16.7.1
16.8.1
16.9.1
16.10.1
16.11.1
16.12.1
16.13.1
16.14.1
16.15.1
16.16.1
16.17.1
16.18.1
16.19.1
16.20.1
16.21.1
16.22.1
16.23.1
16.24.1
16.25.1
16.26.1
17.0.1
17.1.1
17.2.1
17.3.1
17.4.1
17.5.1
17.6.1
17.7.1
17.8.1
17.9.1
17.10.1
17.11.1
17.12.1
17.13.1
17.14.1
17.15.1
17.16.1
17.17.1
17.18.1
17.19.1
17.20.1
18.0.1
18.1.1
18.2.1
18.3.1
18.4.1
18.5.1
18.6.1
18.7.1
Se ha identificado una vulnerabilidad de Cross-Site Request Forgery (XSRF) en Totara LMS, afectando a versiones hasta la 18.7. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado, comprometiendo la integridad de los datos y la seguridad del sistema. La actualización a la versión 18.8 soluciona esta vulnerabilidad.
La vulnerabilidad XSRF en Totara LMS permite a un atacante engañar a un usuario autenticado para que realice acciones no deseadas, como modificar configuraciones, eliminar datos o incluso comprometer cuentas de administrador. Un atacante podría, por ejemplo, crear un formulario malicioso que, al ser visitado por un usuario con permisos de administrador, realice cambios en la configuración del sistema sin su conocimiento. El riesgo se agrava si los usuarios utilizan contraseñas débiles o reutilizan contraseñas en otros servicios, ya que un ataque exitoso podría proporcionar al atacante acceso a información sensible o control sobre el sistema LMS.
Esta vulnerabilidad fue divulgada públicamente el 18 de abril de 2024. Aunque la complejidad del ataque se considera alta, la disponibilidad de la información sobre la vulnerabilidad aumenta el riesgo de explotación. No se han reportado campañas de explotación activas a la fecha, pero se recomienda monitorear la actividad del sistema y aplicar las actualizaciones de seguridad lo antes posible.
Organizations and educational institutions utilizing Totara LMS, particularly those running versions prior to 18.8, are at risk. Shared hosting environments where multiple Totara LMS instances reside on the same server could amplify the impact if one instance is compromised.
• wordpress / composer / npm:
grep -r "User Selector" /var/www/totara/• generic web:
curl -I https://your-totara-instance/user/selector | grep -i "csrf-token"disclosure
Estado del Exploit
EPSS
0.05% (15% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-3932 es actualizar Totara LMS a la versión 18.8 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta de las entradas del usuario y la implementación de tokens CSRF en todas las solicitudes críticas. Además, revise y refuerce las políticas de contraseñas de los usuarios y considere la implementación de autenticación multifactor (MFA) para mayor seguridad. Después de la actualización, confirme la mitigación verificando que las solicitudes no puedan ser falsificadas mediante pruebas de seguridad.
Actualice Totara LMS a la versión 13.46, 14.38, 15.33, 16.27, 17.21 o 18.8, o a una versión posterior. Esto corregirá la vulnerabilidad de Cross-Site Request Forgery (CSRF) en el selector de usuarios. Se recomienda realizar una copia de seguridad antes de actualizar.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-3932 is a cross-site request forgery vulnerability affecting Totara LMS versions up to 18.7, allowing attackers to potentially perform actions as a logged-in user.
You are affected if you are running Totara LMS versions 18.7 or earlier. Upgrade to version 18.8 to mitigate the risk.
Upgrade Totara LMS to version 18.8 or later. Consider implementing CSRF tokens and input validation as interim measures.
While no active campaigns are confirmed, the vulnerability has been publicly disclosed, increasing the potential for exploitation.
Refer to the Totara LMS security advisory page for the latest information and updates: [https://totaralms.com/security/](https://totaralms.com/security/)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.