Chamilo LMS लॉगिन पृष्ठ पर सत्यापन-रहित रीडायरेक्ट

चामिलो एलएमएस में CVE-2025-66447 एक हमलावर को लॉगिन यूआरएल (/login) में 'redirect' पैरामीटर में हेरफेर करके उपयोगकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित करने की अनुमति देता है। इससे क्रेडेंशियल की चोरी, मैलवेयर का प्रसार या पहचान का प्रतिरूपण हो सकता है। शिक्षा संस्थानों और संगठनों के लिए जो चामिलो एलएमएस का उपयोग करते हैं, उनके लिए जोखिम विशेष रूप से अधिक है, क्योंकि उपयोगकर्ताओं को सीखने के प्लेटफॉर्म की नकल करने वाली नकली वेबसाइटों पर अपने उपयोगकर्ता नाम और पासवर्ड दर्ज करने के लिए बरगलाया जा सकता है। यह भेद्यता चामिलो एलएमएस के संस्करण 1.11.0 से 2.0-बीटा.1 तक प्रभावित होती है।

1. आरक्षित2025-12-01
2. प्रकाशित2026-04-10
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-18

इस भेद्यता के लिए समाधान चामिलो एलएमएस को संस्करण 2.0-बीटा.2 या बाद के संस्करण में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो लॉगिन यूआरएल में 'redirect' पैरामीटर को मान्य और सैनिटाइज करता है, जिससे अनधिकृत पुनर्निर्देशन को रोका जा सकता है। अपने सिस्टम और उपयोगकर्ताओं की सुरक्षा के लिए इस अपडेट को जल्द से जल्द लागू करने की पुरजोर सिफारिश की जाती है। इसके अतिरिक्त, इस भेद्यता का शोषण करने के किसी भी प्रयास के लिए सर्वर लॉग की समीक्षा करें और उपयोगकर्ताओं को फ़िशिंग जोखिमों और संदिग्ध यूआरएल के बारे में शिक्षित करें।