Moodle は、いくつかのクロスサイトスクリプティング (XSS) の脆弱性に影響されやすい状態でした（CVE-2010-2228、CVE-2010-2229、CVE-2010-2230、CVE-2010-2231）。

Moodle Upstream が v1.9.9 および v1.8.13 をリリースしています：
http://docs.moodle.org/en/Moodle_1.9.9_release_notes http://docs.moodle.org/en/Moodle_1.8.13_release_notes 以下の問題に対処します：* MSA-10-0010 MNET アクセスコントロールインターフェイスの永続的クロスサイトスクリプティングの脆弱性 * MSA-10-0011 blog/index.php のクロスサイトスクリプティングの脆弱性 * MSA-10-0012 KSESセキュリティフィルターバイパスの脆弱性 * MSA-10-0013 Quiz レポートでの潜在的クロスサイトスクリプティングの脆弱性

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

コース管理システムである Moodle に、いくつかのリモートの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2010-1613 Moodle は、デフォルトで「Regenerate session id during login」（ログイン中にセッションIDを再生成）の設定を有効にしていないため、リモートの攻撃者が、セッション固定化攻撃を仕掛けやすくなります。

- CVE-2010-1614 複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、(1) Login-As 機能に関連するベクトル、または (2) グローバル検索機能が有効な場合に、Global Search Engine の詳細不明なグローバル検索フォームに関連するベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2010-1615 複数の SQL インジェクションの脆弱性により、リモートの攻撃者が、(1) wiki モジュールの mod/wiki/view.php の add_to_log 関数に関連するベクトル、または (2) lib/form/selectgroups.php に関連する「data validation in some forms elements」に関連するベクトルを介して、任意の SQL コマンドを実行する可能性があります。

- CVE-2010-1616 Moodle は、コースを復元する際に、新しい役割を作成することができるため、先生が、moodle/user:create 機能がなくても、新しいアカウントを作成する可能性があります。

- CVE-2010-1617 user/view.php はロールを適切にチェックしていないため、認証されたリモートのユーザーが、コースのプロファイルページを介して、その他のユーザーのフルネームを取得する可能性があります。

- CVE-2010-1618 phpCAS クライアントライブラリのクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、細工された URL を介して、エラーメッセージで適切に処理されない、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2010-1619 KSES HTML テキスト消去ライブラリ（weblib.php）における fix_non_standard_entities 関数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、細工された HTML エントリを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2010-2228 MNET アクセスコントロールインターフェイスのクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、ユーザー名の拡張文字に関するベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2010-2229 blog/index.php の複数のクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、詳細不明なパラメーターを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2010-2230 lib/weblib.php の KSES テキスト消去フィルターは、vbscript の URI を適切に処理していないため、認証されたリモートのユーザーが、HTML 入力を介して、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります。

- CVE-2010-2231 quiz モジュールにおける report/overview/report.php のクロスサイトリクエスト偽造（CSRF）の脆弱性により、リモートの攻撃者が、attemptid パラメーターを介して、quiz 試行を削除するリクエストに対する任意のユーザーの認証をハイジャックする可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
47707	openSUSE セキュリティ更新：moodle（openSUSE-SU-2010:0365-1）	Nessus	SuSE Local Security Checks	2010/7/13	2021/1/14	medium
47220	Fedora 13：moodle-1.9.9-1.fc13（2010-10291）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47706	openSUSE セキュリティ更新：moodle（openSUSE-SU-2010:0365-1）	Nessus	SuSE Local Security Checks	2010/7/13	2021/1/14	medium
47219	Fedora 12：moodle-1.9.9-1.fc12（2010-10286）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47221	Fedora 11：moodle-1.9.9-1.fc11（2010-10321）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
49717	Debian DSA-2115-1 : moodle - 複数の脆弱性	Nessus	Debian Local Security Checks	2010/10/6	2021/1/4	high

検出

プラグインの検索

medium

medium

medium

medium

medium

high