Vulnerabilidad en Chamilo LMS de Chamilo (CVE-2026-34602)

Chamilo LMS es un sistema de gestión de aprendizaje de código abierto. En versiones anteriores a la 2.0.0-RC.3, el endpoint /API/course_rel_users es vulnerable a la Referencia Directa Insegura a Objeto (IDOR), permitiendo a un atacante autenticado modificar el parámetro user en el cuerpo de la solicitud para inscribir a cualquier usuario arbitrario en cualquier curso sin las comprobaciones de autorización adecuadas. El backend confía en la entrada proporcionada por el usuario para el campo user y no realiza ninguna verificación del lado del servidor de que el solicitante posee el ID de usuario referenciado o tiene permiso para actuar en nombre de otros usuarios. Esto permite la manipulación no autorizada de las relaciones usuario-curso, lo que podría conceder acceso no intencionado a los materiales del curso, eludir los controles de inscripción y comprometer la integridad de la plataforma. Este problema ha sido solucionado en la versión 2.0.0-RC.3.