Vulnerabilidad en Chamilo (CVE-2025-59541)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

06/03/2026

Última modificación:

09/03/2026

Descripción

Chamilo es un sistema de gestión del aprendizaje. Antes de la versión 1.11.34, una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) permite a un atacante eliminar proyectos dentro de un curso sin el consentimiento de la víctima. El problema surge porque las acciones sensibles, como la eliminación de proyectos, no implementan protecciones anti-CSRF (tokens) y se basan en peticiones GET. Como resultado, un usuario autenticado (Formador) puede ser engañado para ejecutar esta acción no deseada simplemente visitando una página maliciosa. Este problema ha sido parcheado en la versión 1.11.34.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto