CVE-2026-110761
Beschrijving NL
ILIAS vóór 9.24, 10.12 en 11.5 bevat een kwetsbaarheid voor PHP-objectinjectie waarmee geverifieerde gebruikers met Testcreatie of importmachtiging willekeurige objecten kunnen deserialiseren via vervaardigde Testarchieven. Aanvallers kunnen een kwaadaardig tst_sequence-sequentiekenmerk injecteren dat wordt doorgegeven aan unserialize(), waarbij Guzzle- of Monolog-gadgetketens worden misbruikt om PHP-bestanden te schrijven en code uit te voeren.
Origineel (Engels) tonen
ILIAS before 9.24, 10.12, and 11.5 contains a PHP object injection vulnerability that allows authenticated users with Test creation or import permission to deserialize arbitrary objects via crafted Test archives. Attackers can inject a malicious tst_sequence sequence attribute that is passed to unserialize(), abusing Guzzle or Monolog gadget chains to write PHP files and execute code.