CVE-2026-31281

Zusammenfassung

# Totara LMS v19.1.5 und frühere Versionen sind anfällig für HTML-Injection Totara LMS v19.1.5 und frühere Versionen sind anfällig für HTML-Injection. Ein Angreifer kann bösartigen HTML-Code in eine Nachricht injizieren und diese an alle Benutzer der Anwendung senden, was zur Ausführung des Codes führen und Session-Hijacking sowie die Ausführung von Befehlen im Browser des Opfers ermöglichen kann. HINWEIS: Der Hersteller gibt an, dass der Produktname Totara Learning lautet und dass es sich bei der referenzierten Funktionalität um den In-App-Messaging-Client handelt. Sie weisen darauf hin, dass der In-App-Messaging-Client nur die Möglichkeit bietet, eine spezifische, zulässige Liste von HTML-Tags einzubetten, die üblicherweise zur Textverbesserung verwendet werden, darunter kursiv, fett, unterstrichen, stark usw. Schließlich geben sie an, dass der In-App-Messaging-Client kein `<script>`, `<style>`, `<iframe>`, `<object>`, `<embed>`, `<form>`, `<input>`, `<button>`, `<svg>`, `<math>` usw. einbetten kann und dass jeder Versuch, Tags oder Attribute außerhalb der zulässigen Liste einzubetten (einschließlich onerror, onaction usw.), über DOMPurify bereinigt wird.

• CVE-2026-31281Informativ

  Advisory, das eine authentifizierte HTML-Injection-Schwachstelle in Totara LMS beschreibt, die Versionen vor 19.1.5 betrifft und Session-Hijacking sowie die Ausführung von Befehlen über manipulierte Nachrichten ermöglicht.