Podatności Moodle

W Moodle w wersjach 2.x i 3.x, tokeny usług webowych nie są unieważniane, gdy hasło użytkownika jest zmieniane lub wymuszane do zmiany.

W Moodle do wersji 2.6.11 oraz 2.7.x przed 2.7.10, 2.8.x przed 2.8.8 i 2.9.x przed 2.9.2 funkcje random_string i complex_random_string polegają na funkcji mt_rand w PHP, co ułatwia zdalnym atakującym przewidywanie tokenów odzyskiwania haseł metodą brute-force.

W funkcji clean_param w pliku lib/moodlelib.php w Moodle występuje podatność na otwarte przekierowanie, która pozwala zdalnym atakującym na przekierowywanie użytkowników do dowolnych stron internetowych.

Funkcja generate_password w Moodle do wersji 2.4.11 oraz w wersjach 2.5.x przed 2.5.9, 2.6.x przed 2.6.6 i 2.7.x przed 2.7.3 nie zapewnia wystarczającej liczby możliwych tymczasowych haseł, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.

W Moodle w wersjach 2.x i 3.x występuje podatność na wstrzykiwanie SQL, która może być wykorzystana poprzez preferencje użytkownika.

Moodle w wersjach 4.2.0 do 4.5.15, 5.0.0 do 5.0.11, 5.1.0 do 5.1.8, 5.2.0 do 5.2.4 oraz 5.3.0 zawiera brak sprawdzenia uprawnień w usłudze sieciowej core_grades_get_gradeitems, co pozwala zapisanym studentom przeglądać ukryte elementy ocen. Uwierzytelnieni użytkownicy kursu mogą wywołać usługę AJAX lub mobilną, aby wylistować identyfikatory, nazwy i kategorie ukrytych elementów ocen, które dziennik ocen przed nimi ukrywa.

Moodle w wersjach 4.2.0 do 4.5.15, 5.0.0 do 5.0.11, 5.1.0 do 5.1.8, 5.2.0 do 5.2.4 oraz 5.3.0 zawiera podatność na ujawnienie informacji w usłudze sieciowej core_grades_get_feedback. Usługa nie sprawdza przynależności do grup ani zapisów, więc nauczyciele bez prawa edycji mogą iterować wartości userid, aby odczytać opinie o ocenach innych grup oraz nazwiska i pola tożsamości użytkowników, takie jak adres e-mail.

Moodle 5.3.0, 5.2.0 do 5.2.4, 5.1.0 do 5.1.8, 5.0.0 do 5.0.11 oraz do 4.5.15 zawiera podatność na wstrzyknięcie SQL w pluginie zapisów na zewnętrznej bazie danych poprzez idnumber kursu. Nauczyciele z prawem edycji mogą zapisać ładunek z ukośnikiem i cudzysłowem w idnumber, który wykonuje się podczas zaplanowanej synchronizacji na zewnętrznych bazach MySQL/MariaDB, odczytując dane i manipulując wynikami zapisów.

Moodle 5.3.0, 5.2.0 do 5.2.4, 5.1.0 do 5.1.8, 5.0.0 do 5.0.11 oraz do 4.5.15 zawiera podatność na path traversal w formacie importu pytań Blackboard. Nauczyciele z prawem importu pytań lub edycji lekcji mogą przesłać spreparowany plik zip z wartościami img src zawierającymi sekwencje ../, kopiując pliki serwera, takie jak config.php, do swojego obszaru roboczego.

W Moodle funkcja importu ocen z pliku XML nie weryfikuje prawidłowo tokenu CSRF. Atakujący może nakłonić uwierzytelnionego użytkownika z uprawnieniami do zarządzania ocenami do odwiedzenia złośliwej strony, co pozwala na wykonanie nieautoryzowanych żądań w imieniu ofiary. Luka umożliwia zdalnemu atakującemu ustawianie lub nadpisywanie ocen uczniów bez autoryzacji.

W systemie Moodle stwierdzono błąd polegający na tym, że filtry list użytkowników nie egzekwują odpowiednio ograniczeń widoczności pól profilu użytkownika. Uwierzytelniony użytkownik z uprawnieniami menedżera może filtrować listy użytkowników, używając atrybutów profilu, których nie ma prawa bezpośrednio przeglądać, co prowadzi do nieautoryzowanego ujawnienia informacji poprzez wnioskowanie o ukrytych danych użytkownika.

W Moodle niewystarczająca sanityzacja pola nazwy użytkownika na stronie resetowania hasła umożliwia zdalnemu atakującemu przeprowadzenie ataku cross-site scripting (XSS). Poprzez nakłonienie nieuwierzytelnionego użytkownika do otwarcia specjalnie spreparowanego linku resetowania hasła, atakujący może wykonać dowolny skrypt w przeglądarce ofiary.

W Moodle podczas zapisywania użytkownika na kurs i przypisywania go do grupy aplikacja nie weryfikuje, czy wybrana grupa rzeczywiście należy do tego kursu. Uwierzytelniony użytkownik z uprawnieniami nauczyciela może wykorzystać tę lukę, aby dodawać użytkowników do grup w kursach, do których nie ma uprawnień dostępu.

W Moodle z powodu braku sprawdzenia uprawnień użytkownik uwierzytelniony o niskich uprawnieniach może wywołać ponowne obliczenie kar za oceny bez wymaganych uprawnień. Luka pozwala nieuprawnionym użytkownikom modyfikować rekordy kar za oceny, co może zmieniać wyniki oceniania uczniów.

W systemie Moodle stwierdzono błąd polegający na nieprawidłowym sprawdzaniu uprawnień w usłudze internetowej generowania obrazów w edytorze AI. Uwierzytelniony użytkownik może wywołać tę funkcję bez posiadania wymaganego uprawnienia, co pozwala nieautoryzowanym użytkownikom na dostęp i korzystanie z funkcji generowania obrazów AI.

W systemie Moodle stwierdzono błąd polegający na tym, że strona zarządzania ręcznym zapisem nie sprawdzała poprawnie, czy wtyczka ręcznego zapisu jest wyłączona. Użytkownicy z uprawnieniami do zapisów mogli uzyskać bezpośredni dostęp do strony, nawigując do jej adresu URL, co pozwalało zarządzać ręcznymi zapisami nawet po wyłączeniu tej funkcji przez administratora w interfejsie użytkownika.

W Moodle niewystarczające escapowanie danych wyjściowych w szablonach wyświetlających posty na forum umożliwia przechowywany atak cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwą treść do postu na forum, która następnie wykonuje dowolny kod skryptu w przeglądarce innego użytkownika przeglądającego ten post.

W Moodle znaleziono błąd, który pozwala uwierzytelnionemu atakującemu na dostarczenie nieprawidłowo zweryfikowanej nazwy klasy do komponentu Report Builder, co umożliwia dowolną instancję klasy. Ta podatność pozwala na nieautoryzowane tworzenie wewnętrznych obiektów programu, co może prowadzić do nieoczekiwanego zachowania aplikacji.

W Moodle nieprawidłowe sprawdzenie uprawnień w usłudze sieciowej ocen pozwala uwierzytelnionemu studentowi na dostęp do informacji profilowych innych studentów zapisanych na ten sam kurs, do których nie powinien mieć uprawnień. Luka prowadzi do nieautoryzowanego ujawnienia informacji.

W Moodle uwierzytelniony atakujący z dostępem do usługi sieciowej banku pytań może przesłać nieoczyszczone dane wejściowe bezpośrednio do zapytań bazy danych, co prowadzi do podatności SQL injection. Luka może pozwolić atakującemu na przeglądanie, modyfikowanie lub usuwanie poufnych danych przechowywanych w bazie danych.

W Moodle nieprawidłowa obsługa adresów IPv6 mapowanych na IPv4 w logice blokowania hostów w narzędziu do pobierania URL pozwala uwierzytelnionemu zdalnemu użytkownikowi obejść ograniczenia zablokowanych hostów. Poprzez podanie spreparowanego adresu URL atakujący może zmusić serwer do wykonania żądań do zastrzeżonych miejsc docelowych, co prowadzi do Server-Side Request Forgery (SSRF).

Problem z obsługą błędów w routerze Moodle (r.php) może powodować wyświetlanie wewnętrznych list katalogów przez aplikację, gdy określone nagłówki HTTP nie zostały prawidłowo skonfigurowane.

Podatność Cross Site Scripting (XSS) w Moodle CMS w wersji 3.10 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez pole nazwy (parametr name) nowej aktywności.

Problem w logice sprawdzania adresu 0.0.0.0 w stosunku do zablokowanych hostów cURL prowadzi do ryzyka SSRF. Wada ta dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8, 3.11 do 3.11.14, 3.9 do 3.9.21 oraz wcześniejszych wersji, które nie są już wspierane.

Zidentyfikowano ograniczone ryzyko wstrzyknięcia SQL na stronie kontroli dostępu Mnet SSO. Wada ta dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8, 3.11 do 3.11.14, 3.9 do 3.9.21 oraz wcześniejszych, nieobsługiwanych wersji.

Na stronie grup w Moodle występuje luka, która wymaga dodatkowego oczyszczania treści, aby zapobiec ryzyku XSS. Problem ten dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8 oraz 3.11 do 3.11.14.

W Moodle przed wersjami 3.8.2, 3.7.5, 3.6.9 i 3.5.11, użytkownicy przeglądający raport historii ocen bez uprawnienia 'dostęp do wszystkich grup' mogli zobaczyć oceny użytkowników z innych grup.