CVE-2025-69581
Publiée le 2026-01-16 · Dernière modification le 2026-06-17
Chamillo LMS 1.11.2 ne parvient pas à empêcher les navigateurs web de mettre en cache des données sensibles du profil utilisateur après la déconnexion de ce dernier. Un attaquant ayant un accès physique ou distant au même appareil peut consulter les informations confidentielles d'un utilisateur précédent simplement en cliquant sur le bouton « retour » du navigateur. Cela nécessite un accès local à la machine et une interaction de l'utilisateur, mais aucune authentification ni outil spécialisé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in Chamillo LMS 1.11.2. The Social Network /personal_data endpoint exposes full sensitive user information even after logout because proper cache-control is missing. Using the browser back button restores all personal data, allowing unauthorized users on the same device to view confidential information. This leads to profiling, impersonation, targeted attacks, and significant privacy risks.