चामिलो: प्रोजेक्ट हटाने में CSRF भेद्यता

यह CSRF भेद्यता हमलावरों को एक प्रमाणित उपयोगकर्ता (ट्रेनर) को एक दुर्भावनापूर्ण पृष्ठ पर जाने के लिए धोखा देने की अनुमति देती है, जिससे अनचाहे कार्रवाई, जैसे कि प्रोजेक्ट हटाना, निष्पादित हो जाती है। चूंकि संवेदनशील क्रियाओं में CSRF सुरक्षा (टोकन) लागू नहीं हैं और GET-आधारित अनुरोधों का उपयोग किया जाता है, इसलिए हमलावर आसानी से प्रोजेक्ट को हटा सकते हैं। इससे कोर्स की सामग्री का नुकसान हो सकता है और LMS की अखंडता से समझौता हो सकता है। इस भेद्यता का उपयोग करके, हमलावर LMS के भीतर अनधिकृत परिवर्तन कर सकते हैं, जिससे डेटा हानि और सिस्टम अस्थिरता हो सकती है।

Educational institutions and organizations utilizing Chamilo LMS are at risk, particularly those running versions prior to 1.11.34. Organizations with a large number of 'Trainer' accounts or those that allow users to easily share links to internal Chamilo resources are at higher risk. Shared hosting environments where multiple Chamilo instances reside on the same server could also be impacted.

• php / web: Examine access logs for GET requests to project deletion endpoints with suspicious referer headers.

grep 'project_delete.php' access.log | grep -i 'attacker.com'

• php / web: Monitor Chamilo application logs for unusual project deletion events, particularly those associated with Trainer accounts. • generic web: Use curl to test for project deletion functionality via GET requests without CSRF tokens.

curl -v -X GET 'https://chamilo.example.com/project_delete.php?project_id=123' -H 'Referer: https://attacker.com'

1. 2026-03-06Disclosure

   disclosure

1. आरक्षित2025-09-17
2. प्रकाशित2026-03-06
3. EPSS अद्यतन2026-03-23

CVE-2025-59541 को कम करने के लिए, Chamilo LMS को संस्करण 1.11.34 या बाद के संस्करण में तुरंत अपडेट करें। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें जो CSRF हमलों को रोक सकता है। सुनिश्चित करें कि सभी संवेदनशील क्रियाओं में CSRF टोकन लागू किए गए हैं। इसके अतिरिक्त, उपयोगकर्ता को दुर्भावनापूर्ण लिंक पर क्लिक करने से रोकने के लिए सुरक्षा जागरूकता प्रशिक्षण प्रदान करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, एक CSRF परीक्षण करें।