चामिलो एलएमएस में REST API PII एक्सपोज़र get_user_info_from_username के माध्यम से

Chamilo LMS में CVE-2026-33708 छात्रों सहित प्रमाणित उपयोगकर्ताओं को अन्य उपयोगकर्ताओं की संवेदनशील व्यक्तिगत जानकारी तक पहुंचने की अनुमति देता है। REST API एंडपॉइंट getuserinfofromusername में उचित प्राधिकरण जांच का अभाव है, जिससे ईमेल पता, पहला नाम, अंतिम नाम, उपयोगकर्ता आईडी और सक्रिय स्थिति जैसे डेटा उजागर हो जाते हैं। इस सूचना रिसाव का उपयोग सामाजिक इंजीनियरिंग हमलों, लक्षित फ़िशिंग या यहां तक ​​कि शैक्षिक प्लेटफ़ॉर्म के भीतर उपयोगकर्ता प्रोफ़ाइल बनाने के लिए किया जा सकता है। इस जानकारी तक पहुंच के नियंत्रण की कमी उपयोगकर्ता की गोपनीयता और प्लेटफ़ॉर्म अखंडता से समझौता करती है। CVSS गंभीरता 6.5 है, जो एक मध्यम लेकिन महत्वपूर्ण जोखिम का संकेत देती है।

1. आरक्षित2026-03-23
2. प्रकाशित2026-04-10
3. संशोधित2026-04-15
4. EPSS अद्यतन2026-04-18

इस भेद्यता के लिए समाधान Chamilo LMS को संस्करण 1.11.38 या उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो getuserinfofromusername API में आवश्यक प्राधिकरण को लागू करता है, जिससे केवल उपयुक्त अनुमतियों वाले उपयोगकर्ताओं को ही उपयोगकर्ता जानकारी तक पहुंचने की अनुमति मिलती है। डेटा एक्सपोजर के जोखिम को कम करने के लिए इस अपडेट को तुरंत लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, अपने प्लेटफ़ॉर्म की सुरक्षा नीतियों की समीक्षा करें और सुनिश्चित करें कि उपयोगकर्ता अपने क्रेडेंशियल्स को सुरक्षित रखने और सूचना अनुरोधों के प्रति सावधान रहने के महत्व को समझते हैं।