CVE-2026-80428
ILIAS Injeção de Objeto PHP via Logout do Shibboleth
- Publicado
- 26 de ago. de 2026
- Atualizado
- 30 de set. de 2026
- Atribuindo CNA
- VulnCheck
- Evidência observada
- 3 de set. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 91,7%
- Data do modelo
- 23 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O ILIAS anterior às versões 9.22, 10.10 e 11.3 contém uma vulnerabilidade de injeção de objetos PHP não autenticada que permite a atacantes não autenticados executar código arbitrário ao injetar objetos serializados através do endpoint de autenticação LTI e acionar a desserialização através do endpoint de logout de back-channel do Shibboleth. Os atacantes podem gravar objetos serializados arbitrários no armazenamento de sessão e, em seguida, explorar um gadget POP disponível através da desserialização irrestrita do endpoint de logout para gravar conteúdo PHP controlado pelo atacante em um caminho acessível pela web e alcançar execução remota de código como o usuário do servidor web.
Fontes
Prova de conceito de exploit para CVE-2026-80428, demonstrando a vulnerabilidade e seu impacto.
- cve-2026-80428-ctfPesquisa
Laboratório CTF educacional conteinerizado que emula o CVE-2026-80428 (desserialização CWE-502) para prática segura e isolada de estudantes e pesquisadores.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.