You are viewing this page in an unauthorized frame window.
This is a potential security issue, you are being redirected to
https://nvd.nist.gov
An official website of the United States government
Official websites use .gov
A .gov website belongs to an official government organization in the United States.
Secure .gov websites use HTTPS
A lock () or https:// means you've safely connected to the .gov website. Share sensitive information only on official, secure websites.
Chamilo is an open-source learning management system (LMS). Version 2.0.0-RC.2 contains a SQL Injection vulnerability in the statistics AJAX endpoint, which is an incomplete fix for CVE-2026-30881. While CVE-2026-30881 was patched by applying Security::remove_XSS() to the date_start and date_end parameters in the get_user_registration_by_month action, the same parameters remain unsanitized in the users_active action within the same file (public/main/inc/ajax/statistics.ajax.php), where they are directly interpolated into a SQL query. An authenticated admin can exploit this to perform time-based blind SQL injection, enabling extraction of arbitrary data from the database. This issue has been fixed in version 2.0.0.
Metrics
NVD enrichment efforts reference publicly available information to associate
vector strings. CVSS information contributed by other sources is also
displayed.
By selecting these links, you will be leaving NIST webspace.
We have provided these links to other web sites because they
may have information that would be of interest to you. No
inferences should be drawn on account of other sites being
referenced, or not, from this page. There may be other web
sites that are more appropriate for your purpose. NIST does
not necessarily endorse the views expressed, or concur with
the facts presented on these sites. Further, NIST does not
endorse any commercial products that may be mentioned on
these sites. Please address comments about this page to [email protected].
Title: Chamilo LMS de Chamilo, Description: Chamilo es un sistema de gestión de aprendizaje (LMS) de código abierto. La versión 2.0.0-RC.2 contiene una vulnerabilidad de inyección SQL en el endpoint AJAX de estadísticas, que es una solución incompleta para CVE-2026-30881. Mientras que CVE-2026-30881 fue parcheado aplicando Security::remove_XSS() a los parámetros date_start y date_end en la acción get_user_registration_by_month, los mismos parámetros permanecen sin sanear en la acción users_active dentro del mismo archivo (public/main/inc/ajax/statistics.ajax.php), donde son directamente interpolados en una consulta SQL. Un administrador autenticado puede explotar esto para realizar una inyección SQL ciega basada en tiempo, permitiendo la extracción de datos arbitrarios de la base de datos. Este problema ha sido solucionado en la versión 2.0.0.
Title: Chamilo LMS de Chamilo, Description: Chamilo es un sistema de gestión de aprendizaje (LMS) de código abierto. La versión 2.0.0-RC.2 contiene una vulnerabilidad de inyección SQL en el endpoint AJAX de estadísticas, que es una solución incompleta para CVE-2026-30881. Mientras que CVE-2026-30881 fue parcheado aplicando Security::remove_XSS() a los parámetros date_start y date_end en la acción get_user_registration_by_month, los mismos parámetros permanecen sin sanear en la acción users_active dentro del mismo archivo (public/main/inc/ajax/statistics.ajax.php), donde son directamente interpolados en una consulta SQL. Un administrador autenticado puede explotar esto para realizar una inyección SQL ciega basada en tiempo, permitiendo la extracción de datos arbitrarios de la base de datos. Este problema ha sido solucionado en la versión 2.0.0.
CVE Translated by NIST7/24/2026 6:10:00 PM
Action
Type
Old Value
New Value
Added
Translation
Title: Chamilo LMS de Chamilo, Description: Chamilo es un sistema de gestión de aprendizaje (LMS) de código abierto. La versión 2.0.0-RC.2 contiene una vulnerabilidad de inyección SQL en el endpoint AJAX de estadísticas, que es una solución incompleta para CVE-2026-30881. Mientras que CVE-2026-30881 fue parcheado aplicando Security::remove_XSS() a los parámetros date_start y date_end en la acción get_user_registration_by_month, los mismos parámetros permanecen sin sanear en la acción users_active dentro del mismo archivo (public/main/inc/ajax/statistics.ajax.php), donde son directamente interpolados en una consulta SQL. Un administrador autenticado puede explotar esto para realizar una inyección SQL ciega basada en tiempo, permitiendo la extracción de datos arbitrarios de la base de datos. Este problema ha sido solucionado en la versión 2.0.0.
New CVE Received from GitHub, Inc.4/14/2026 5:16:25 PM
Action
Type
Old Value
New Value
Added
Description
Chamilo is an open-source learning management system (LMS). Version 2.0.0-RC.2 contains a SQL Injection vulnerability in the statistics AJAX endpoint, which is an incomplete fix for CVE-2026-30881. While CVE-2026-30881 was patched by applying Security::remove_XSS() to the date_start and date_end parameters in the get_user_registration_by_month action, the same parameters remain unsanitized in the users_active action within the same file (public/main/inc/ajax/statistics.ajax.php), where they are directly interpolated into a SQL query. An authenticated admin can exploit this to perform time-based blind SQL injection, enabling extraction of arbitrary data from the database. This issue has been fixed in version 2.0.0.
) or https:// means you've safely connected to the .gov website. Share sensitive information only on official, secure websites.
