CVE-2026-31281

Resumo

Totara LMS v19.1.5 e versões anteriores são vulneráveis a Injeção de HTML. Um atacante pode injetar código HTML malicioso em uma mensagem e enviá-la a todos os usuários do aplicativo, resultando na execução do código e podendo levar ao sequestro de sessão e à execução de comandos no navegador da vítima. NOTA: O fornecedor declara que o nome do produto é Totara Learning e que a funcionalidade referenciada é o cliente de mensagens no aplicativo. Eles observam que o cliente de mensagens no aplicativo só tem a capacidade de incorporar uma lista específica permitida de tags HTML comumente usadas para aprimoramento de texto, que inclui itálico, negrito, sublinhado, forte, etc. Por fim, eles afirmam que o cliente de mensagens no aplicativo não pode incorporar <script>, <style>, <iframe>, <object>, <embed>, <form>, <input>, <button>, <svg>, <math>, etc., e qualquer tentativa de incorporar tags ou atributos fora da lista permitida (incluindo onerror, onaction, etc.) é sanitizada via DOMPurify.

• CVE-2026-31281Informativo

  Advisory detalhando uma vulnerabilidade de injeção de HTML autenticada no Totara LMS que afeta versões anteriores a 19.1.5, permitindo sequestro de sessão e execução de comandos por meio de mensagens maliciosamente elaboradas.