Plateforme
php
Composant
chamilo-lms
Corrigé dans
1.11.35
Une vulnérabilité de cross-site scripting (XSS) stockée a été découverte dans Chamilo LMS, un système de gestion de l'apprentissage. Cette faille permet à un attaquant d'injecter du code JavaScript malveillant dans le champ des paramètres du parcours d'apprentissage. Les versions concernées sont celles inférieures ou égales à 1.11.34. La mise à jour vers la version 1.11.34 corrige cette vulnérabilité.
L'impact de cette vulnérabilité est significatif. Un attaquant, même disposant d'un compte peu privilégié (par exemple, un formateur), peut exploiter cette faille pour exécuter du code JavaScript arbitraire dans le contexte de tout autre utilisateur accédant à la page d'informations du cours, y compris les administrateurs. Cela permet l'exfiltration de cookies de session sensibles ou de jetons d'authentification, conduisant à une prise de contrôle de compte (ATO) des utilisateurs ayant des privilèges plus élevés. Le risque est d'une perte de confidentialité, d'intégrité et de disponibilité des données stockées dans le LMS, ainsi qu'une compromission potentielle de l'ensemble du système.
La vulnérabilité est publique depuis le 6 mars 2026. Il n'y a pas d'indication d'une présence sur le KEV de CISA ni d'un score EPSS disponible. Aucun proof-of-concept (PoC) public n'a été rapporté à ce jour, mais la nature de la vulnérabilité XSS la rend potentiellement exploitable. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour tout développement ultérieur.
Organizations utilizing Chamilo LMS, particularly those with trainers or other low-privileged users who have the ability to modify course learning paths, are at risk. Environments with legacy Chamilo installations or those lacking robust security monitoring practices are especially vulnerable.
• php / web:
grep -r 'learning path Settings field' /var/www/html/chamilo/• generic web:
curl -I 'https://your-chamilo-instance/course/view.php?id=123' | grep -i 'content-type: application/javascript'• generic web:
curl 'https://your-chamilo-instance/course/view.php?id=123' | grep -o '<script.*?>.*?</script>'disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 13%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour Chamilo LMS vers la version 1.11.34 ou supérieure, où la vulnérabilité a été corrigée. En attendant la mise à jour, il est recommandé de désactiver temporairement la fonctionnalité de modification des paramètres du parcours d'apprentissage si possible. Une solution de contournement pourrait consister à implémenter une validation stricte des entrées utilisateur dans le champ des paramètres du parcours d'apprentissage, bien que cela puisse être complexe à mettre en œuvre correctement. Surveillez attentivement les journaux du serveur pour détecter toute activité suspecte, notamment des requêtes contenant des scripts JavaScript inhabituels.
Mettez à jour Chamilo LMS à la version 1.11.34 ou supérieure. Cette version contient une correction pour la vulnérabilité XSS stockée dans les parcours d'apprentissage des cours.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-59542 is a stored cross-site scripting (XSS) vulnerability in Chamilo LMS versions prior to 1.11.34, allowing attackers to inject malicious JavaScript.
You are affected if you are running Chamilo LMS version 1.11.34 or earlier. Upgrade to version 1.11.34 to mitigate the risk.
Upgrade Chamilo LMS to version 1.11.34 or later. Back up your installation before upgrading.
There are currently no publicly known active exploitation campaigns, but the vulnerability's impact suggests it could become a target.
Refer to the official Chamilo security advisory for details and further guidance: [https://www.chamilo.org/en/security-advisories](https://www.chamilo.org/en/security-advisories)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.