CVE-2026-80428
ILIAS Injection d'objet PHP via la déconnexion Shibboleth
- Publié
- 26 août 2026
- Mise à jour
- 30 sept. 2026
- Attribution de CNA
- VulnCheck
- Preuve observée
- 3 sept. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 91,7 %
- Date du modèle
- 23 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
ILIAS avant les versions 9.22, 10.10 et 11.3 contient une vulnérabilité d'injection d'objets PHP non authentifiée qui permet à des attaquants non authentifiés d'exécuter du code arbitraire en injectant des objets sérialisés via le point de terminaison d'authentification LTI et en déclenchant la désérialisation via le point de terminaison de déconnexion back-channel Shibboleth. Les attaquants peuvent écrire des objets sérialisés arbitraires dans le stockage de session, puis exploiter un gadget POP disponible via la désérialisation non restreinte du point de terminaison de déconnexion pour écrire du contenu PHP contrôlé par l'attaquant dans un chemin accessible via le web et obtenir une exécution de code à distance en tant qu'utilisateur du serveur web.
Sources
Preuve de concept d'exploitation pour CVE-2026-80428, démontrant la vulnérabilité et son impact.
- cve-2026-80428-ctfRecherche
Labo CTF éducatif conteneurisé émulant CVE-2026-80428 (désérialisation CWE-502) pour une pratique sûre et isolée des étudiants et des chercheurs.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.