CVE-2026-33710
Publiée le 2026-04-10 · Dernière modification le 2026-10-26
Les installations de Chamilo LMS antérieures aux versions 1.11.38 et 2.0.0-RC.3 sont affectées par une faille dans la manière dont les clés d'API REST sont générées. Un attaquant non authentifié disposant d'un accès réseau peut découvrir par force brute la clé API d'un utilisateur s'il connaît le nom d'utilisateur et l'heure approximative de création de la clé, lui permettant ainsi de voler des données sensibles. Cette attaque est relativement facile à réaliser car elle ne nécessite aucune interaction de l'utilisateur ni d'accès préalable à un compte.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Chamilo LMS is a learning management system. Prior to 1.11.38 and 2.0.0-RC.3, REST API keys are generated using md5(time() + (user_id * 5) - rand(10000, 10000)). The rand(10000, 10000) call always returns exactly 10000 (min == max), making the formula effectively md5(timestamp + user_id*5 - 10000). An attacker who knows a username and approximate key creation time can brute-force the API key. This vulnerability is fixed in 1.11.38 and 2.0.0-RC.3.