Moodle sebezhetőségek


2015. május 19. 09:34

CH azonosító

CH-12247

Angol cím

Moodle vulnerabilities

Felfedezés dátuma

2015.05.18.

Súlyosság

Magas

Érintett rendszerek

Moodle
Moodle.Org

Érintett verziók

Moodle 2.6.x
Moodle 2.7.x
Moodle 2.8.x

Összefoglaló

A Moodle esetében számos biztonsági hiba vált ismertté. 

Leírás

Ezek a sérülékenységek jogosulatlan távoli műveletvégrehajtást, biztonsági megkötések megkerülését, adatlopást, adatmanipulációt, illetve XSS-alapú támadásokat is lehetővé tehetnek. 

A fejlesztők az alábbi összetevők, funkciók kapcsán orvosoltak sérülékenységeket:

  • XSS maszk (mod/quiz:grade)
  • hibaüzenetek kezelése (átirányítások megakadályozása)
  • a felhasználók teljes nevének elrejtése (self-registration esetén)
  • eseménykezelés (event monitor)
  • bemeneti paraméterek szűrése
  • navigáció
  • fájlfeltöltés (moodle/user:manageownfiles).

Megoldás

A 2.6.11, 2.7.8, 2.8.6, illetve a legújabb 2.9-es kiadások már nem tartalmazzák a fenti sérülékenységeket.

Támadás típusa

Cross Site Scripting (XSS/CSS)
Information disclosure (Információ/adat szivárgás)
Manipulation of data
Security bypass (Biztonsági szabályok megkerülése)
System access (Rendszer hozzáférés)
execute arbitrary code

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: isbk.hu
Egyéb referencia: moodle.org
CVE-2015-3174 - NVD CVE-2015-3174
CVE-2015-3175 - NVD CVE-2015-3175
CVE-2015-3176 - NVD CVE-2015-3176
CVE-2015-3177 - NVD CVE-2015-3177
CVE-2015-3178 - NVD CVE-2015-3178
CVE-2015-3179 - NVD CVE-2015-3179
CVE-2015-3180 - NVD CVE-2015-3180
CVE-2015-3181 - NVD CVE-2015-3181

Legfrissebb sérülékenységek
CVE-2025-48572 – Android Framework Privilege Escalation sérülékenysége
CVE-2026-21877 – n8n Remote Code Execution via Arbitrary File Write sérülékenység
CVE-2025-68668 – n8n Arbitrary Command Execution sérülékenység
CVE-2025-68613 – n8n Remote Code Execution via Expression Injection sérülékenység
CVE-2026-21858 – n8n Unauthenticated File Access via Improper Webhook Request Handling sérülékenység
CVE-2025-37164 – Hewlett Packard Enterprise OneView Code Injection sérülékenység
CVE-2009-0556 – Microsoft Office PowerPoint Code Injection sérülékenység
CVE-2026-0625 – D-Link DSL Command Injection via DNS Configuration Endpoint sérülékenység
CVE-2020-12812 – Fortinet FortiOS SSL VPN Improper Authentication sérülékenysége
CVE-2025-68428 – jsPDF path traversal sérülékenysége
Tovább a sérülékenységekhez »