CVE-2026-31281

説明

• Totara LMS は HTLM インジェクションに対して脆弱です。攻撃者はメッセージに悪意のある HTLM コードを注入し、アプリケーション内のすべてのユーザーに送信することで、コードの実行につながり、セッションハイジャックや被害者のブラウザ上でのコマンド実行を引き起こす可能性があります。

---

CVSS 3 スコア: 7.3 (高)

---

攻撃タイプ

• リモート (認証済み)

---

影響を受けるバージョン

• 19.1.5 以前のバージョン (<= 19.1.5)

---

製品ベンダー

• Totara

---

影響を受ける製品コードベース

• Totara LMS

---

影響を受けるコンポーネント

• メッセージボックス。

---

緩和策

• メッセージボックス内のユーザー入力/出力に対してサニタイゼーションを実装する。

---

脆弱性の詳細

• 攻撃者はメッセージに悪意のある HTLM コードを注入し、アプリケーション内のすべてのユーザーに送信することで、コードの実行につながり、セッションハイジャックや被害者のブラウザ上でのコマンド実行を引き起こす可能性があります。

---

修正済みバージョン

• 19.1.5 より後のバージョン (> 19.1.5)

---

発見者:

• Yazan Abu-Nadi