CVE-2026-113607

ŚrednieCVSS 6.5

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Streszczenie

Blok Configurable Reports dla Moodle przed 5.3.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać zastrzeżone raporty poprzez usługę sieciową block_configurable_reports_get_report_data. Gdy check_permissions zawiedzie, funkcja dodaje jedynie ostrzeżenie i nadal zwraca pełną tabelę raportu, pozwalając każdemu zalogowanemu użytkownikowi podać dowolne identyfikatory raportów, aby odczytać raporty SQL dotyczące danych użytkowników i ocen.

Ocena ryzyka

Każdy zalogowany użytkownik może uzyskać dostęp do zastrzeżonych raportów zawierających dane użytkowników i ocen, co narusza poufność. Może to prowadzić do wycieku wrażliwych informacji edukacyjnych.

Rekomendacja

Zaktualizuj blok Configurable Reports do wersji 5.3.0 lub nowszej. Zweryfikuj uprawnienia do usługi sieciowej i ogranicz dostęp do raportów.

Inne podatności w Configurable Reports block for Moodle

CVE-2026-113608Średnie
Blok Configurable Reports dla Moodle (moodle-block_configurablereports) przed 5.3.1 zawiera podatność wstrzyknięcia SQL w report_sql::prepare_sql() poprzez parametr żądania filter_var w viewreport.php. Użytkownicy z niskimi uprawnieniami, którym pozwolono przeglądać raporty używające placeholdera %%FILTER_VAR%%, mogą wstrzykiwać podzapytania lub UNION SELECT, aby odczytać dowolne tabele bazy danych, w tym hasła użytkowników.

Oryginalny opis (angielski, źródło NVD)

Configurable Reports block for Moodle before 5.3.0 contains an authorization bypass vulnerability that allows authenticated users to read restricted reports through the block_configurable_reports_get_report_data web service. When check_permissions fails, the function only adds a warning and still returns the full report table, letting any logged-in user supply arbitrary report ids to read SQL reports over user and grade data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS