リモートホストにインストールされている Moodle のバージョンは、3.9.8 より前の 3.9.x、3.10.5 より前の 3.10.x、または 3.11.1 より前の 3.11.x です。そのため、以下の複数の脆弱性の影響を受けます。

 - ユーザーの登録済みコースをフェッチするライブラリの SQL インジェクション。(CVE-2021-36392)

 - ユーザーの最近のコースをフェッチするライブラリの SQL インジェクション。(CVE-2021-36393)

 - 有効な場合の Shibboleth 認証プラグインのリモートコード実行 (RCE)。(CVE-2021-36394)

 - ファイルリポジトリの URL 解析機能における再帰サービス拒否 (DoS)。(CVE-2021-36395)

 - リダイレクト処理が不十分なことによるブラインドサーバーサイドリクエスト偽造 (SSRF)。cURL のブロックされたホストがバイパスされたり、許可されたポートが制限されたりします。(CVE-2021-36396)

 - ユーザーが他のユーザー メッセージを削除することを可能にする、安全でない Direct Object Reference (IDOR) の脆弱性。(CVE-2021-36397)

 - Web サービストークンリストに表示される ID 番号に保存されたクロスサイトスクリプティング (XSS) の脆弱性。(CVE-2021-36398)

 - クイズオーバーライド画面に表示される ID 番号に保存されたクロスサイトスクリプティング (XSS) の脆弱性。(CVE-2021-36399)

 - ユーザーが他のユーザーのカレンダー URL サブスクリプションを削除することを可能にする、安全でない Direct Object Reference (IDOR) の脆弱性。(CVE-2021-36400)

 - ローカルで読み取られる HTML データ形式でエクスポートされた ID 番号の保存型クロスサイトスクリプティング (XSS) の脆弱性。(CVE-2021-36401)

 - アカウント確認メールのユーザー名の入力検証が不適切なため、フィッシングリスクが発生します。(CVE-2021-36402)

 - HTML を含むメール通知を処理する際の入力検証が不適切なため、フィッシングリスクが発生します。(CVE-2021-36403)

注意:  スキャナーはこの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
113620	Moodle 3.10.x < 3.10.5 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113619	Moodle 3.9.x < 3.9.8 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113621	Moodle 3.11.x < 3.11.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical

検出

プラグインの検索

critical

critical

critical