CVE-2026-113608

ŚrednieCVSS 5.3

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Streszczenie

Blok Configurable Reports dla Moodle (moodle-block_configurablereports) przed 5.3.1 zawiera podatność wstrzyknięcia SQL w report_sql::prepare_sql() poprzez parametr żądania filter_var w viewreport.php. Użytkownicy z niskimi uprawnieniami, którym pozwolono przeglądać raporty używające placeholdera %%FILTER_VAR%%, mogą wstrzykiwać podzapytania lub UNION SELECT, aby odczytać dowolne tabele bazy danych, w tym hasła użytkowników.

Ocena ryzyka

Atakujący może odczytać dowolne dane z bazy danych, w tym hasła użytkowników, co prowadzi do naruszenia poufności i potencjalnego przejęcia kont. Może to zagrozić całemu systemowi Moodle.

Rekomendacja

Zaktualizuj blok Configurable Reports do wersji 5.3.1 lub nowszej. Ogranicz uprawnienia do przeglądania raportów i zweryfikuj integralność bazy danych.

Inne podatności w Configurable Reports block for Moodle

CVE-2026-113607Średnie
Blok Configurable Reports dla Moodle przed 5.3.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać zastrzeżone raporty poprzez usługę sieciową block_configurable_reports_get_report_data. Gdy check_permissions zawiedzie, funkcja dodaje jedynie ostrzeżenie i nadal zwraca pełną tabelę raportu, pozwalając każdemu zalogowanemu użytkownikowi podać dowolne identyfikatory raportów, aby odczytać raporty SQL dotyczące danych użytkowników i ocen.

Oryginalny opis (angielski, źródło NVD)

Configurable Reports block for Moodle (moodle-block_configurablereports) before 5.3.1 contains an sql injection vulnerability in report_sql::prepare_sql() via the filter_var request parameter of viewreport.php. Low-privileged users permitted to view reports using the %%FILTER_VAR%% placeholder can inject subqueries or UNION SELECT to read arbitrary database tables, including user password hashes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS