CVE-2026-8208

8.9 Élevée

Publiée le 09/05/2026 à 06:16 · Modifiée le 24/07/2026 à 10:10 · Analyse NVD reportée · Source : ab69c47f-b95e-4bf2-b2d9-4b1fd1b24b4a

Description

Gibbon versions before v30.0.01 are affected by a local file inclusion vulnerability resulting in RCE by changing the report archive directory and forcing interpretation of a user provided .zip as PHP. Successful exploitation requires Teacher or higher privileges. Exploitation could result in compromise of the underlying web server.

Traduire en français

Produits concernés

gibbonedu gibbon

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.9 Élevée	ab69c47f-b95e-4bf2-b2d9-4b1fd1b24b4a	`CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`

Faiblesses (CWE)

CWE-98

Références

https://github.com/GibbonEdu/core/releases/tag/v30.0.01
https://projectblack.io/blog/gibbon-v30-authenticated-sql-injection-and-rce/#local-file-inclusionthe-next-shiny-new-thing

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories