CVE-2026-31282

説明

• Totara LMS は、不適切なアクセス制御に対して脆弱です。ログインページのコードを操作してログインフォームを表示し、Octa ログインを回避することができます。攻撃者は、これをログインフォームのレート制限の欠如と組み合わせてブルートフォース攻撃を実行し、ユーザーの認証情報を取得する可能性があります。

---

CVSS 3 スコア: 9.1 (重大)

---

攻撃タイプ

• リモート（認証不要）

---

影響を受けるバージョン

• 19.1.5 以前のバージョン

---

製品ベンダー

• Totara

---

影響を受ける製品コードベース

• Totara LMS

---

影響を受けるコンポーネント

• ログインページ。

---

緩和策

• ログインフォームの検証は、クライアントサイドだけでなくサーバーサイドの検証に依存する必要があり、ブルートフォース攻撃を防ぐためにログインフォームにレート制限を実装する必要があります。

---

脆弱性の詳細

• Totara LMS は、不適切なアクセス制御に対して脆弱です。ログインページのコードを操作してログインフォームを表示し、Octa ログインを回避することができます。攻撃者は、これをログインフォームのレート制限の欠如と組み合わせてブルートフォース攻撃を実行し、ユーザーの認証情報を取得する可能性があります。

---

修正済みバージョン

• 19.1.5 より後のバージョン

---

発見者:

• Yazan Abu-Nadi