VULNERABILIDAD

CVE-2026-108974 Carga sin restricciones en la función save_users de Users.php en E-Learning System

La función save_users del archivo /classes/Users.php?f=save en SourceCodester E-Learning System 1.0 permite manipular el argumento img para realizar una carga sin restricciones. El ataque puede lanzarse de forma remota y el exploit es público.

Alerta de Nureq Monitor

Detectada 13 OCT · 05:12

CVSS 3.1

7.3ALTA

CVSS 4.0

6.9 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 20

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-108974

Productos y versiones afectadas

SourceCodester E-Learning System
- 1.0

Qué hacer

Verificá si usás E-Learning System y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.3 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Baja
INTEGRIDAD (I): Baja
DISPONIBILIDAD (A): Baja
MADUREZ DEL EXPLOIT (E): Prueba de concepto
CONFIANZA DEL INFORME (RC): Razonable

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Baja
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna
MADUREZ DEL EXPLOIT (E): Prueba de concepto

CVSS 3.0 · 7.3 ALTA

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Baja
INTEGRIDAD (I): Baja
DISPONIBILIDAD (A): Baja
MADUREZ DEL EXPLOIT (E): Prueba de concepto
CONFIANZA DEL INFORME (RC): Razonable

Abrir la calculadora completa

Descripción original

A vulnerability was identified in SourceCodester E-Learning System 1.0. This affects the function save_users of the file /classes/Users.php?f=save. Such manipulation of the argument img leads to unrestricted upload. The attack can be launched remotely. The exploit is publicly available and might be used.

Referencias

vuldb.com/vuln/416793VDB-ENTRY · TECHNICAL-DESCRIPTION
vuldb.com/vuln/416793/ctiSIGNATURE · PERMISSIONS-REQUIRED
vuldb.com/cve/CVE-2026-108974THIRD-PARTY-ADVISORY
vuldb.com/submit/1000528THIRD-PARTY-ADVISORY
tracexlabs.com/releases/elearning-preauth-rce.htmlEXPLOIT · PATCH
www.sourcecodester.com/PRODUCT

Historial de la alerta

13 OCT · 05:12VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.