Chamilo AssociationのChamilo LMSにおける複数の脆弱性
| Title |
Chamilo AssociationのChamilo LMSにおける複数の脆弱性
|
| Summary |
Chamilo LMSはオープンソースの学習管理システムです。バージョン2.0.0-RC.3未満には、ノートブックモジュールに不適切な直接オブジェクト参照（IDOR）の脆弱性が存在します。この脆弱性により、認証された任意の学生がeditnoteアクションのnotebook_idパラメータを操作することで、プラットフォーム上の他のユーザーのプライベートなコースノートを閲覧できます。アプリケーションは、要求ユーザーがノートの所有者であることを検証せずに、提供された整数IDのみを使ってノートの内容を取得します。その結果、完全なタイトルとHTML本文が編集フォームにレンダリングされ、攻撃者のブラウザに返されます。所有権のチェックは更新（updateNote()）および削除（delete_note()）の処理には存在しますが、読み取り処理（get_note_information()）には全く存在しません。この問題はバージョン2.0.0-RC.3で修正されています。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 14, 2026, midnight |
| Registration Date |
April 24, 2026, 11:28 a.m. |
| Last Update |
April 24, 2026, 11:28 a.m. |
|
CVSS3.0 : 警告
|
| Score |
6.5
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Affected System
| Chamilo Association |
|
Chamilo LMS 1.11.38 およびそれ以前
|
|
Chamilo LMS 2.0.0
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月24日]
掲載 |
April 24, 2026, 11:28 a.m. |
NVD Vulnerability Information
CVE-2026-34370
| Summary |
Chamilo LMS is an open-source learning management system. In versions prior to 2.0.0-RC.3, the notebook module contains an Insecure Direct Object Reference (IDOR) vulnerability that allows any authenticated student to read the private course notes of any other user on the platform by manipulating the notebook_id parameter in the editnote action. The application fetches the note content using only the supplied integer ID without verifying that the requesting user owns the note, and the full title and HTML body are rendered in the edit form and returned to the attacker's browser. While ownership checks exist in the write paths (updateNote() and delete_note()), they are entirely absent from the read path (get_note_information()). This issue has been fixed in version 2.0.0-RC.3.
|
| Publication Date |
April 15, 2026, 7:16 a.m. |
| Registration Date |
April 15, 2026, 11:42 a.m. |
| Last Update |
April 23, 2026, 3:46 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:chamilo:chamilo_lms:*:*:*:*:*:*:*:* |
|
1.11.38 |
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:alpha1:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:alpha2:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:alpha3:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:alpha4:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:alpha5:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:beta1:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:beta2:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:beta3:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:rc1:*:*:*:*:*:* |
|
|
|
|
| cpe:2.3:a:chamilo:chamilo_lms:2.0.0:rc2:*:*:*:*:*:* |
|
|
|
|
Related information, measures and tools
Common Vulnerabilities List