CVE-2026-31281

Riepilogo

Totara LMS v19.1.5 e versioni precedenti sono vulnerabili a HTML Injection. Un attaccante può iniettare codice HTML dannoso in un messaggio e inviarlo a tutti gli utenti dell'applicazione, con conseguente esecuzione del codice che può portare al dirottamento della sessione e all'esecuzione di comandi nel browser della vittima. NOTA: Il fornitore dichiara che il nome del prodotto è Totara Learning e che la funzionalità a cui si fa riferimento è il client di messaggistica in-app. Sottolineano che il client di messaggistica in-app ha solo la capacità di incorporare un elenco specifico consentito di tag HTML comunemente usati per il miglioramento del testo, che include corsivo, grassetto, sottolineato, enfasi, ecc. Infine, dichiarano che il client di messaggistica in-app non può incorporare <script>, <style>, <iframe>, <object>, <embed>, <form>, <input>, <button>, <svg>, <math>, ecc., e qualsiasi tentativo di incorporare tag o attributi al di fuori dell'elenco consentito (inclusi onerror, onaction, ecc.) viene sanificato tramite DOMPurify.

• CVE-2026-31281Informativo

  Advisory che descrive una vulnerabilità di iniezione HTML autenticata in Totara LMS che interessa le versioni precedenti alla 19.1.5, consentendo il dirottamento della sessione e l'esecuzione di comandi tramite messaggi appositamente predisposti.