JVNDB-2026-012209

Chamilo AssociationのChamilo LMSにおける複数の脆弱性

Chamilo LMSはオープンソースの学習管理システムです。バージョン2.0.0-RC.3未満には、ノートブックモジュールに不適切な直接オブジェクト参照（IDOR）の脆弱性が存在します。この脆弱性により、認証された任意の学生がeditnoteアクションのnotebook_idパラメータを操作することで、プラットフォーム上の他のユーザーのプライベートなコースノートを閲覧できます。アプリケーションは、要求ユーザーがノートの所有者であることを検証せずに、提供された整数IDのみを使ってノートの内容を取得します。その結果、完全なタイトルとHTML本文が編集フォームにレンダリングされ、攻撃者のブラウザに返されます。所有権のチェックは更新（updateNote()）および削除（delete_note()）の処理には存在しますが、読み取り処理（get_note_information()）には全く存在しません。この問題はバージョン2.0.0-RC.3で修正されています。

Chamilo Association

• Chamilo LMS 1.11.38 およびそれ以前
• Chamilo LMS 2.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : IDOR allowing an attacker to view private notes of other users (<=2.0-RC.2)  Advisory  chamilo/chamilo-lms  GitHub

1. 不適切な認可(CWE-285) [その他]
2. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-34370

1. National Vulnerability Database (NVD) : CVE-2026-34370
2. 関連文書 : Release v2.0.0 RC 3  chamilo/chamilo-lms  GitHub

• [2026年04月24日]
    掲載