JVNDB-2026-011745

Chamilo AssociationのChamilo LMSにおけるユーザ制御の鍵による認証回避に関する脆弱性

Chamilo LMSは学習管理システムです。2.0.0-RC.3より前のバージョンにおいて、/social-network/personal-data/{userId}エンドポイントにIDOR（不安全な直接オブジェクト参照）脆弱性が存在しました。認証済みの任意のユーザーがuserIdパラメータを変更することで、他の任意のユーザーの完全な個人データおよびAPIトークンにアクセスできます。この脆弱性により、機密性の高いユーザー情報と資格情報が大量に漏洩し、プラットフォーム全体でデータ侵害が発生します。この脆弱性は2.0.0-RC.3で修正されました。

Chamilo Association

• Chamilo LMS 2.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Critical IDOR: Any Authenticated User Can Extract All Users’ Personal Data and API Tokens (>1.11.*, <=2.0 RC2)  Advisory  chamilo/chamilo-lms  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-33703

1. National Vulnerability Database (NVD) : CVE-2026-33703

• [2026年04月20日]
    掲載