CVE-2022-50943
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Moodle LMS 4.0 zawiera podatność na cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie złośliwych skryptów poprzez parametr wyszukiwania w pliku course/search.php. Atakujący mogą wykonać dowolny kod JavaScript w przeglądarkach użytkowników i ukraść ciasteczka sesji.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, uzyskać dostęp do ich kont i danych, a także rozprzestrzeniać złośliwe treści w systemie LMS.
Rekomendacja
Zaleca się aktualizację Moodle LMS do wersji 4.0.1 lub nowszej, która zawiera poprawkę filtrującą dane wejściowe w parametrze wyszukiwania.
Oryginalny opis (angielski, źródło NVD)
Moodle LMS 4.0 contains a cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious scripts by submitting payloads through the search parameter. Attackers can inject JavaScript code via the search field in course/search.php to execute arbitrary scripts in users' browsers and steal session cookies.