关键信息 漏洞描述 漏洞编号: CVE-2024-30616 漏洞类型: Incorrect Access Control via main/auth/profile 影响: 非管理员用户可以操纵敏感配置信息。 影响范围 受影响版本: Chamilo 1.11.x (up to 1.11.26) 漏洞利用 1. 登录管理员账户并检查LinkedIn和Skype配置URL: - 登录管理员账户并查看LinkedIn和Skype配置URL。 2. 创建新用户“baha”: - 创建一个非管理员用户“baha”。 3. 登录新用户并编辑配置URL: - 登录新用户并访问 ，编辑配置URL。 4. 使用Burp Suite拦截请求并修改 : - 使用Burp Suite拦截请求并修改 为管理员用户ID。 5. 检查管理员用户配置URL: - 检查管理员用户配置URL，发现已修改。 参考链接 CVE-2024-30616 GitHub Chamilo LMS Wiki GitHub Chamilo LMS Commit 发现者 Baha Doumi 日期: Mar 2024