CVE-2026-80428
ILIAS Iniezione di Oggetti PHP tramite Logout Shibboleth
- Pubblicato
- 26 ago 2026
- Aggiornato
- 30 set 2026
- Assegnazione CNA
- VulnCheck
- Evidenza osservata
- 3 set 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 91,7%
- Data del modello
- 23 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
ILIAS prima delle versioni 9.22, 10.10 e 11.3 contiene una vulnerabilità di iniezione di oggetti PHP non autenticata che consente ad attaccanti non autenticati di eseguire codice arbitrario iniettando oggetti serializzati attraverso l'endpoint di autenticazione LTI e attivando la deserializzazione tramite l'endpoint di logout back-channel Shibboleth. Gli attaccanti possono scrivere oggetti serializzati arbitrari nello storage delle sessioni, quindi sfruttare un gadget POP disponibile attraverso la deserializzazione non vincolata dell'endpoint di logout per scrivere contenuto PHP controllato dall'attaccante in un percorso accessibile via web e ottenere l'esecuzione di codice remoto come utente del server web.
Fonti
Proof-of-concept exploit per CVE-2026-80428, che dimostra la vulnerabilità e il suo impatto.
- cve-2026-80428-ctfRicerca
Lab CTF didattico containerizzato che emula CVE-2026-80428 (deserializzazione CWE-502) per esercitazioni sicure e isolate da parte di studenti e ricercatori.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.