自己報告されたバージョンによると、リモートホストでホストされている Moodle のインストールは 3.9.20 より前、3.11.13 より前の 3.11.x、4.0.7 より前の 4.0.x、4.1.2 より前の 4.1.x です。したがって、複数の脆弱性の影響を受けます。

- コース参加レポートでは、ユーザーが表示するアクセス権のないロールが表示されないように、追加のチェックが必要でした。

- 成績表履歴のフィルタリングが不十分なため、教師は本来アクセスできないユーザーの名前にアクセスできる可能性がありました。

- Mustache pix ヘルパーには、ユーザー入力と組み合わせられた場合に、Mustache インジェクションのリスクが存在する可能性があります (注: これは、コア Moodle LMS のどこにも実装/悪用可能ではないようです)。

- 代数フィルターが有効であっても機能しない場合 (必要なバイナリがサーバーにないなど)、XSS のリスクがありました。

- データベース自動リンクフィルターによるコンテンツ出力では、XSS リスクを防ぐために追加のサニタイズが必要でした。

- バックアップのサニタイズが不十分なため、任意のファイル読み取りのリスクが発生しました。この機能にアクセスする機能は、デフォルトで教師、マネージャー、管理者のみが利用できます。

- プロファイルフィールドの利用可能条件の検証が不十分なため、SQL インジェクションのリスクが発生しました (デフォルトでは、教師とマネージャーのみが利用可能)。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 36 ホストには、FEDORA-2023-d9c13996b2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - プロファイルフィールドの利用可能条件の検証が不十分なため、SQL インジェクションのリスクが発生しました (デフォルトでは、教師とマネージャーのみが利用可能)。(CVE-2023-28329)

  - バックアップのサニタイズが不十分なため、任意のファイル読み取りのリスクが発生しました。この機能にアクセスする機能は、デフォルトで教師、マネージャー、管理者のみが利用できます。(CVE-2023-28330)

  - データベース自動リンクフィルターによるコンテンツ出力では、XSS リスクを防ぐために追加のサニタイズが必要でした。
    (CVE-2023-28331)

  - 代数フィルターが有効であっても機能しない場合 (必要なバイナリがサーバーにないなど)、XSS のリスクがありました。(CVE-2023-28332)

  - Moustache pix ヘルパーには、ユーザー入力と組み合わせた場合、Mustache インジェクションのリスクが含まれていました (注意:
    これは、Moodle LMS のコアのどこにも実装されておらず、悪用もできないようです)。(CVE-2023-28333)

  - 成績表履歴のフィルタリングが不十分なため、教師は本来アクセスできないユーザーの名前にアクセスできる可能性がありました。(CVE-2023-28336)

  - コース参加レポートでは、ユーザーが表示するアクセス権のないロールが表示されないように、追加のチェックが必要でした。(CVE-2023-1402)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114764	Moodle 4.1.x < 4.1.2 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	critical
114765	Moodle 4.0.x < 4.0.7 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	critical
114766	Moodle 3.11.x < 3.11.13 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	critical
114767	Moodle < 3.9.20 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	critical
173675	Fedora 36 : moodle (2023-d9c13996b2)	Nessus	Fedora Local Security Checks	2023/3/30	2024/11/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical