CVE-2026-80428
ILIAS PHP-Objektinjektion über Shibboleth-Logout
- Veröffentlicht
- 26.08.2026
- Aktualisiert
- 30.09.2026
- CNA zuweisen
- VulnCheck
- Beweise beobachtet
- 03.09.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 91,7 %
- Modelldatum
- 23.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
ILIAS vor den Versionen 9.22, 10.10 und 11.3 enthält eine nicht authentifizierte PHP-Object-Injection-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, beliebigen Code auszuführen, indem sie serialisierte Objekte über den LTI-Authentifizierungsendpunkt injizieren und die Deserialisierung über den Shibboleth-Back-Channel-Logout-Endpunkt auslösen. Angreifer können beliebige serialisierte Objekte in den Sitzungsspeicher schreiben und dann ein verfügbares POP-Gadget über die uneingeschränkte Deserialisierung des Logout-Endpunkts ausnutzen, um vom Angreifer kontrollierten PHP-Inhalt in einen webzugänglichen Pfad zu schreiben und so Remote-Code-Execution als Benutzer des Webservers zu erreichen.
Quellen
Proof-of-Concept-Exploit für CVE-2026-80428, der die Schwachstelle und ihre Auswirkungen demonstriert.
- cve-2026-80428-ctfForschung
Containerisiertes Lehr-CTF-Lab zur Emulation von CVE-2026-80428 (CWE-502 Deserialisierung) für sicheres, isoliertes Üben von Studierenden und Forschenden.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.