CVE-2026-31282

概要

# Totara LMS v19.1.5 以前のバージョンは、不適切なアクセス制御（Incorrect Access Control）の影響を受けます。 ログインページのコードを操作して、ログインフォームを表示させることができます。攻撃者はこれを、ログインフォームに対するレート制限（rate-limit）の欠如と組み合わせることで、ブルートフォース攻撃を仕掛けることが可能です。 **注記:** 本件はサプライヤーによって異議が申し立てられています。その理由は、(1) ローカルログインの有効化/無効化はサーバー側で行われる（クライアント側の制御ではない）、(2) SSOログインを迂回してローカルログインを許可できるという証拠はない、(3) サーバー側で無効化されている場合にローカルログインが実行できるという証拠はない、というものです。

• CVE-2026-31282PoC

  CVE-2026-31282 の概念実証: Totara LMS のログインページにおけるアクセス制御バイパスにより、未認証のブルートフォース認証情報攻撃が可能になります。脆弱性の詳細、影響を受けるバージョン、および緩和策のガイダンスが含まれます。