CVE-2014-7845
WysokieStreszczenie
Funkcja generate_password w Moodle do wersji 2.4.11 oraz w wersjach 2.5.x przed 2.5.9, 2.6.x przed 2.6.6 i 2.7.x przed 2.7.3 nie zapewnia wystarczającej liczby możliwych tymczasowych haseł, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeprowadzenia ataku brute-force, co może prowadzić do nieautoryzowanego dostępu do systemu Moodle.
Rekomendacja
Zaleca się aktualizację Moodle do najnowszej wersji, aby usunąć tę podatność oraz zwiększyć bezpieczeństwo haseł.
Inne podatności w Moodle
Zobacz wszystkie- CVE-2016-7038Wysokie
W Moodle w wersjach 2.x i 3.x, tokeny usług webowych nie są unieważniane, gdy hasło użytkownika jest zmieniane lub wymuszane do zmiany.
- CVE-2015-5267Wysokie
W Moodle do wersji 2.6.11 oraz 2.7.x przed 2.7.10, 2.8.x przed 2.8.8 i 2.9.x przed 2.9.2 funkcje random_string i complex_random_string polegają na funkcji mt_rand w PHP, co ułatwia zdalnym atakującym przewidywanie tokenów odzyskiwania haseł metodą brute-force.
- CVE-2015-3272Wysokie
W funkcji clean_param w pliku lib/moodlelib.php w Moodle występuje podatność na otwarte przekierowanie, która pozwala zdalnym atakującym na przekierowywanie użytkowników do dowolnych stron internetowych.
- CVE-2017-2641Krytyczne
W Moodle w wersjach 2.x i 3.x występuje podatność na wstrzykiwanie SQL, która może być wykorzystana poprzez preferencje użytkownika.
- CVE-2024-37674Średnie
Podatność Cross Site Scripting (XSS) w Moodle CMS w wersji 3.10 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez pole nazwy (parametr name) nowej aktywności.
- CVE-2023-35133Wysokie
Problem w logice sprawdzania adresu 0.0.0.0 w stosunku do zablokowanych hostów cURL prowadzi do ryzyka SSRF. Wada ta dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8, 3.11 do 3.11.14, 3.9 do 3.9.21 oraz wcześniejszych wersji, które nie są już wspierane.
- CVE-2023-35132Średnie
Zidentyfikowano ograniczone ryzyko wstrzyknięcia SQL na stronie kontroli dostępu Mnet SSO. Wada ta dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8, 3.11 do 3.11.14, 3.9 do 3.9.21 oraz wcześniejszych, nieobsługiwanych wersji.
- CVE-2023-35131Średnie
Na stronie grup w Moodle występuje luka, która wymaga dodatkowego oczyszczania treści, aby zapobiec ryzyku XSS. Problem ten dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8 oraz 3.11 do 3.11.14.
- CVE-2020-1754Średnie
W Moodle przed wersjami 3.8.2, 3.7.5, 3.6.9 i 3.5.11, użytkownicy przeglądający raport historii ocen bez uprawnienia 'dostęp do wszystkich grup' mogli zobaczyć oceny użytkowników z innych grup.
Oryginalny opis (angielski, źródło NVD)
The generate_password function in Moodle through 2.4.11, 2.5.x before 2.5.9, 2.6.x before 2.6.6, and 2.7.x before 2.7.3 does not provide a sufficient number of possible temporary passwords, which allows remote attackers to obtain access via a brute-force attack.