Chamilo: OS Command Injection in /plugin/vchamilo/views/manage.controller.php

O sistema de gerenciamento de aprendizado Chamilo possui uma falha que permite a atacantes executar comandos arbitrários do sistema operacional no servidor através do plugin vchamilo. Isso poderia permitir que um atacante assuma o controle completo do servidor.

Injeção de comando do sistema operacional existe em /plugin/vchamilo/views/manage.controller.php no Chamilo anterior à versão 1.11.30, permitindo execução de código remoto com privilégios de servidor. A vulnerabilidade é explorável através da injeção de metacaracteres de shell em parâmetros de entrada não sanitizados que são passados para funções de execução de comandos do sistema. A exploração bem-sucedida concede ao atacante controle completo sobre o servidor afetado.