CVE-2026-33707

Chamilo LMS — przewidywalny token resetowania hasła (CWE-640)

CVSS 9.4v3.1pub. 2026-04-10upd. 2026-04-16

Chamilo LMS przed wersjami 1.11.38 i 2.0.0-RC.3 generuje tokeny resetowania hasła jako sha1(email) bez żadnego elementu losowego, co pozwala atakującemu obliczyć token i przejąć konto ofiary znając jedynie jej adres e-mail. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani uprzywilejowanego dostępu.

▸ Pokaż oryginał (EN)

Chamilo LMS is a learning management system. Prior to 1.11.38 and 2.0.0-RC.3, the default password reset mechanism generates tokens using sha1($email) with no random component, no expiration, and no rate limiting. An attacker who knows a user's email can compute the reset token and change the victim's password without authentication. This vulnerability is fixed in 1.11.38 and 2.0.0-RC.3.

🤖 Analiza AI

Jak działa

Mechanizm resetowania hasła w Chamilo LMS tworzy token wyłącznie na podstawie adresu e-mail użytkownika przy użyciu funkcji sha1(), bez dodawania losowego komponentu (np. soli czy znacznika czasu). Token nie ma daty ważności ani ograniczenia liczby prób użycia. Atakujący, znając adres e-mail ofiary, może samodzielnie obliczyć wartość tokenu i bezpośrednio wywołać żądanie zmiany hasła bez interakcji z właścicielem konta.

Skutki

Atakujący może bez uwierzytelnienia przejąć pełną kontrolę nad dowolnym kontem użytkownika platformy, zmieniając jego hasło, co prowadzi do naruszenia poufności i integralności danych. W przypadku kont administracyjnych skutkiem może być kompromitacja całej instancji Chamilo LMS.

Mitygacja

Należy zaktualizować Chamilo LMS do wersji 1.11.38 lub nowszej (gałąź 1.x) albo do wersji 2.0.0-RC.3 lub nowszej (gałąź 2.x). Patche dostępne są w oficjalnym repozytorium GitHub projektu (commity 078d7e5b i 750a4531). Do czasu aktualizacji zaleca się monitorowanie logów pod kątem nieautoryzowanych żądań resetowania hasła oraz rozważenie tymczasowego wyłączenia funkcji samodzielnego resetowania hasła.

Kogo dotyczy

Chamilo LMS w wersjach wcześniejszych niż 1.11.38 (gałąź 1.x) oraz wcześniejszych niż 2.0.0-RC.3 (gałąź 2.x).

Uwagi

Podatność opisana i zgłoszona przez zespół Chamilo LMS za pośrednictwem GitHub Security Advisories (GHSA-f27g-66gq-g7v2). Poprawka wprowadzona w commitach 078d7e5b77679fa7ccfcd6783bd5cc683db0bda8 oraz 750a45312a0d5c3ad60dbfbd0d959ca40be4a18c.