CVE-2026-80428

Résumé

ILIAS désérialise les données de session stockées pour un appelant non authentifié. Le point de terminaison du canal secondaire Shibboleth situé dans components/ILIAS/AuthShibboleth/resources/shib_logout.php s'exécute dans un contexte que ilInitialisation exempte de l'authentification, et son gestionnaire de notification de déconnexion localise la session à terminer en lisant chaque ligne active de la table des sessions et en transmettant les données stockées de chaque ligne à un analyseur écrit à la main qui appelle unserialize sans restreindre les classes pouvant être construites. Tout objet sérialisé présent dans une ligne de session est donc instancié au nom d'une requête anonyme, et les destructeurs d'objets s'exécutent lorsque ces objets sont abandonnés. Un objet sérialisé peut être placé dans une ligne de session sans se connecter, car le point d'entrée d'authentification LTI stocke les paramètres de requête dans la session et est accessible via un chemin que le même code d'initialisation exempte de l'authentification. Une classe fournie avec l'application écrit une structure encodée en JSON dans un fichier nommé par l'une de ses propres propriétés lorsqu'elle est détruite, ce qui place un contenu contrôlé par l'attaquant à un chemin choisi par l'attaquant sous la racine web et entraîne une exécution de code en tant qu'utilisateur du serveur web. Les versions 9.22, 10.10 et 11.3 suppriment l'implémentation de la notification de déconnexion du point de terminaison.

• CVE-2026-80428PoC

  Preuve de concept d'exploitation pour CVE-2026-80428, démontrant la vulnérabilité et son impact.

• cve-2026-80428-ctf