📌 Résumé de la vulnérabilité

Open eClass (également connu sous le nom de GUnet eClass), un système de gestion de l'apprentissage (LMS) open source largement utilisé, contient une vulnérabilité critique de téléchargement de fichier sans restriction dans sa fonctionnalité d'importation de thème.

Un administrateur authentifié peut télécharger un fichier ZIP malveillant, conduisant à une exécution de code à distance (RCE) sur le serveur.

---

⚠️ Versions concernées

Version	Statut
Open eClass < 4.2	Vulnérable
Open eClass ≥ 4.2	Corrigé

---

🛠️ Détails de la vulnérabilité

• Identifiant CVE : CVE-2026-22241
• Gravité : Élevée (CVSS 7.3)
• Type : Téléchargement de fichier sans restriction (CWE-434)
• Vecteur d'attaque : Fonctionnalité d'importation de thème dans le panneau d'administration
• Privilège requis : Compte administrateur
• Impact : Exécution de code à distance (RCE)

---

🔍 Cause racine

La vulnérabilité existe en raison d'une validation et d'un assainissement insuffisants des archives ZIP téléchargées lors du processus d'importation de thème. Des fichiers malveillants (tels que des webshells PHP) peuvent être écrits dans le répertoire accessible via le web.

---

🛡️ Atténuation et correctif

• Mettez à jour immédiatement vers Open eClass 4.2 ou une version ultérieure.
• Désactivez la fonctionnalité d'importation de thème si elle n'est pas nécessaire.
• Restreignez l'accès administratif et mettez en place une validation stricte des fichiers téléchargés.
• Surveillez les journaux du serveur pour toute activité suspecte de téléchargement de thème.

---

📚 Références

• Avis de sécurité officiel
• Entrée NVD
• Analyse TwelveSec

---

⚠️ Avertissement légal

Ce dépôt est destiné à des fins éducatives et de recherche uniquement.
Les informations fournies visent à aider les chercheurs en sécurité et les administrateurs système à comprendre et à corriger la vulnérabilité.

L'exploitation non autorisée de systèmes dont vous n'êtes pas propriétaire est illégale.

---