CVE-2026-31282
Totara LMS v19.1.5 और उससे पहले के संस्करण अनुचित एक्सेस नियंत्रण (Incorrect Access Control) के प्रति संवेदनशील हैं। लॉगिन पेज कोड में हेरफेर करके लॉगिन फॉर्म को प्रकट किया जा सकता है। एक हमलावर इसे लॉगिन...
- प्रकाशित
- 13 अप्रैल 2026
- अद्यतन
- 6 मई 2026
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 18 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 44.4%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
# Totara LMS v19.1.5 और उससे पहले के संस्करण अनुचित एक्सेस नियंत्रण (Incorrect Access Control) के प्रति संवेदनशील हैं। लॉगिन पेज कोड में हेरफेर करके लॉगिन फॉर्म को प्रकट किया जा सकता है। एक हमलावर इसे लॉगिन फॉर्म पर रेट-लिमिट की कमी के साथ जोड़कर ब्रूट फोर्स हमला शुरू कर सकता है। नोट: आपूर्तिकर्ता द्वारा इस पर विवाद है क्योंकि (1) स्थानीय लॉगिन सर्वर साइड पर सक्षम/अक्षम किया जाता है (यह क्लाइंट साइड नियंत्रण नहीं है); (2) इसका कोई सबूत नहीं है कि SSO लॉगिन को बायपास करके स्थानीय लॉगिन की अनुमति दी जा सकती है; और (3) इसका कोई सबूत नहीं है कि सर्वर साइड पर अक्षम होने पर स्थानीय लॉगिन किया जा सकता है।
स्रोत
# CVE-2026-31282 के लिए प्रूफ-ऑफ-कॉन्सेप्ट: Totara LMS लॉगिन पेज एक्सेस कंट्रोल बायपास जो बिना प्रमाणीकरण के ब्रूट-फोर्स क्रेडेंशियल हमलों को सक्षम बनाता है। इसमें भेद्यता विवरण, प्रभावित संस्करण और शमन मार्गदर्शन शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।