Aviso (do mapa de origem)

O upload do CStudio é o arquivo PHP big-upload.php, não uma action= do Symfony. O HTTP é aquele caminho do plugin.

Entrada

• Método: POST
• Caminho: /plugin/CStudio/editor/import-project/inc/big-upload.php?action=upload&key=../../../../public/poc-witness.txt
• Roteador: CStudio BigUpload não autenticado. A chave GET/POST é concatenada em cacheDir/cstudio_upload/ sem sanitização. action=upload anexa php://input ali. Travessia até public/poc-witness.txt. Em seguida, GET /poc-witness.txt.
• Notas: CVE-2026-45140 CWE-22/434/94: public/plugin/CStudio/editor/import-project/inc/big-upload.php não possui api_get_user_id() na versão 2.0.0. A 2.0.1 adiciona 403 + disable_dangerous_file. O witness é POCWitness45140 em GET /poc-witness.txt (texto simples). Não é um shell. O fopen() do upload usa append; uma segunda tag <?php no mesmo arquivo .php é um erro de análise, então o witness do laboratório é .txt.

Cadeia de chamadas

• POST /plugin/CStudio/editor/import-project/inc/big-upload.php?action=upload&key=../../../../public/poc-witness.txt body=POCWitness45140
• BigUpload::setTempName(key) + uploadFile() fopen(cache/cstudio_upload/ + key)
• GET /poc-witness.txt → POCWitness45140

Pré-condições do laboratório

• Chamilo LMS 2.0.0 instalado (APP_INSTALLED=1, linha de configurações chamilo_database_version)
• Arquivos do plugin CStudio presentes em public/plugin/CStudio
• O document root do Apache é public/
• var/cache gravável

Witness

O corpo de GET /poc-witness.txt contém POCWitness45140. O HTML da página inicial ou o redirecionamento de instalação não é o witness de escrita de arquivo.

Não é sucesso

• HTML genérico 200 da página inicial do Chamilo
• 302 para /main/install/index.php
• 403 Forbidden (corrigido na 2.0.1)
• reverse shell ou conexão de saída
• payload PHP system()/exec()

Correção / remediação

Faça isto primeiro: Atualize o Chamilo LMS para 2.0.1 ou mais recente.

Verifique após a atualização

• Execute novamente CVE-2026-45140-Abraxas-Labs.py contra a versão corrigida: o witness mapeado não deve aparecer.
• Confirme o aviso do fornecedor / changeset na árvore implantada (ver referências).
• Uma assinatura de WAF é atraso, não uma correção.

Se você não puder atualizar imediatamente

• Desative ou isole o componente afetado.
• Procure pela condição de witness em produção (novos usuários privilegiados, arquivos inesperados, linhas injetadas — o que o mapa desta CVE nomear).

Reprodução (laboratório autorizado)

Alvo apenas http://127.0.0.1:8088 (ou o loopback que você vinculou). Não aponte este script para a internet.

Sucesso é o witness acima no corpo da resposta. HTML genérico 200 não é.

Imagens do laboratório

Stack de loopback usada para reprodução. Imagens oficiais, a menos que um Dockerfile nesta pasta compile a partir do código-fonte.

• lab/docker-compose.yml
• lab/Dockerfile

Vincule a árvore do produto vulnerável ao lado do Compose se o YAML montar um diretório local (zip do plugin / tag de origem da tabela de versões). Não publique nada exceto 127.0.0.1.

Referências

• CVE-2026-45140 · NVD

• CVE-2026-45140 · CVE.org

• github.com/chamilo/chamilo-lms/commit/4bdba1b9a8820bd70c0809317775d7f6eaa79844

• github.com/chamilo/chamilo-lms/releases/tag/v2.0.1

• github.com/chamilo/chamilo-lms/security/advisories/GHSA-g4c3-4g96-6g4m

• github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45140.json

• nvd.nist.gov/vuln/detail/CVE-2026-45140

• github.com/advisories/GHSA-g4c3-4g96-6g4m

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estruturados)

Licença

Este pacote de divulgação está licenciado sob a GNU Affero General Public License v3.0. Consulte LICENSE.

Isenção de responsabilidade

Este pacote é destinado ao fornecedor, ao proprietário do site e a laboratórios licenciados. O script se comunica com 127.0.0.1. Usá-lo contra sistemas que você não possui não é autorizado pela Abraxas Labs. Sem garantias.

abraxaslabs.tech · github.com/abraxas · @abraxas_null