یک آسیب‌پذیری از نوع SQL Injection (تزریق کد SQL) در سیستم مدیریت یادگیری Forma LMS تا نسخه 4.1.43 شناسایی شده است. این نقص امنیتی در بخش UserselectorAdmController::getDataTask و در فایل /appCore/ajax.adm_server.php رخ می‌دهد.
جزئیات فنی و تحلیل
این آسیب‌پذیری (با شناسه CVE-2026-96777) از طریق دستکاری آرگومان Name در یک Endpoint مربوط به AJAX فعال می‌شود. مهاجم می‌تواند با ارسال درخواست‌های مخرب، کدهای SQL دلخواه را به پایگاه داده زیرساختی تزریق کند. اگرچه این حمله به صورت Remote (از راه دور) قابل اجرا است، اما دسترسی به پنل مدیریت (Authenticated Admin Endpoint) به عنوان پیش‌نیاز لازم است (PR:L).
تاثیرات امنیتی
- محرمانگی (Confidentiality): سطح تاثیرگذاری بالا است و مهاجم می‌تواند داده‌های حساس را از پایگاه داده استخراج کند.
- یکپارچگی (Integrity): تاثیرگذاری محدودی بر روی تغییر داده‌ها دارد.
- در دسترس بودن (Availability): این آسیب‌پذیری تاثیری بر روی پایداری سرویس یا ایجاد اختلال در دسترس بودن ندارد.
لازم به ذکر است که کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است. با وجود اطلاع‌رسانی به سازنده نرم‌افزار، تا این لحظه پاسخی از سوی آن‌ها دریافت نشده است.
