リモートホストにインストールされている Moodle のバージョンは、3.9.8 より前の 3.9.x、3.10.5 より前の 3.10.x、または 3.11.1 より前の 3.11.x です。そのため、以下の複数の脆弱性の影響を受けます。

 - ユーザーの登録済みコースをフェッチするライブラリの SQL インジェクション。(CVE-2021-36392)

 - ユーザーの最近のコースをフェッチするライブラリの SQL インジェクション。(CVE-2021-36393)

 - 有効な場合の Shibboleth 認証プラグインのリモートコード実行 (RCE)。(CVE-2021-36394)

 - ファイルリポジトリの URL 解析機能における再帰サービス拒否 (DoS)。(CVE-2021-36395)

 - リダイレクト処理が不十分なことによるブラインドサーバーサイドリクエスト偽造 (SSRF)。cURL のブロックされたホストがバイパスされたり、許可されたポートが制限されたりします。(CVE-2021-36396)

 - ユーザーが他のユーザー メッセージを削除することを可能にする、安全でない Direct Object Reference (IDOR) の脆弱性。(CVE-2021-36397)

 - Web サービストークンリストに表示される ID 番号に保存されたクロスサイトスクリプティング (XSS) の脆弱性。(CVE-2021-36398)

 - クイズオーバーライド画面に表示される ID 番号に保存されたクロスサイトスクリプティング (XSS) の脆弱性。(CVE-2021-36399)

 - ユーザーが他のユーザーのカレンダー URL サブスクリプションを削除することを可能にする、安全でない Direct Object Reference (IDOR) の脆弱性。(CVE-2021-36400)

 - ローカルで読み取られる HTML データ形式でエクスポートされた ID 番号の保存型クロスサイトスクリプティング (XSS) の脆弱性。(CVE-2021-36401)

 - アカウント確認メールのユーザー名の入力検証が不適切なため、フィッシングリスクが発生します。(CVE-2021-36402)

 - HTML を含むメール通知を処理する際の入力検証が不適切なため、フィッシングリスクが発生します。(CVE-2021-36403)

注意:  スキャナーはこの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Moodle で、ユーザーの登録コースをフェッチするライブラリで SQL インジェクションのリスクが特定されました。
    (CVE-2021-36392)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
113619	Moodle 3.9.x < 3.9.8 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113621	Moodle 3.11.x < 3.11.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113620	Moodle 3.10.x < 3.10.5 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
262576	Linux Distros のパッチ未適用の脆弱性: CVE-2021-36392	Nessus	Misc.	2025/9/10	2025/9/10	critical

検出

プラグインの検索

critical

critical

critical

critical