CVE-2017-1000134
WysokieStreszczenie
Mahara w wersjach 1.8 przed 1.8.6, 1.9 przed 1.9.4, 1.10 przed 1.10.1 oraz 15.04 przed 15.04.0 jest podatna na problem, w którym członkowie grupy mogą stracić dostęp do plików grupowych, które przesłali, jeśli inny członek grupy zmieni uprawnienia dostępu do tych plików.
Ocena ryzyka
Organizacja może stracić kontrolę nad ważnymi plikami grupowymi, co może prowadzić do utraty danych i problemów z dostępnością informacji.
Rekomendacja
Zaleca się aktualizację Mahara do najnowszej wersji, aby zabezpieczyć się przed tą podatnością oraz wprowadzenie polityki zarządzania uprawnieniami dostępu do plików grupowych.
Inne podatności w Mahara
Zobacz wszystkie- CVE-2017-1000151Wysokie
Mahara w wersjach 15.04 przed 15.04.9, 15.10 przed 15.10.5 oraz 16.04 przed 16.04.3 jest podatna na ujawnienie haseł lub innych wrażliwych informacji, które mogą być przekazywane przez nietypowe parametry i trafiać do dziennika błędów.
- CVE-2017-1000150Wysokie
Mahara w wersjach 15.04 przed 15.04.7 oraz 15.10 przed 15.10.3 jest podatna na brak regeneracji identyfikatorów sesji podczas logowania lub wylogowywania. To zwiększa ryzyko ataków typu session fixation dla użytkowników serwisu.
- CVE-2017-1000148Wysokie
Mahara w wersjach 15.04 przed 15.04.8, 15.10 przed 15.10.4 oraz 16.04 przed 16.04.2 jest podatna na wykonanie kodu PHP, ponieważ Mahara przekazuje fragmenty XML przez funkcję PHP 'unserialize()' podczas importowania szaty graficznej z pliku XML.
- CVE-2017-1000139Wysokie
Mahara w wersjach 1.8 przed 1.8.7, 1.9 przed 1.9.5, 1.10 przed 1.10.3 oraz 15.04 przed 15.04.0 jest podatna na ataki typu server-side request forgery (SSRF) z powodu braku weryfikacji wszystkich procesów przekierowań curl względem białej lub czarnej listy.
- CVE-2017-1000133Wysokie
Mahara w wersjach 15.04 przed 15.04.8, 15.10 przed 15.10.4 oraz 16.04 przed 16.04.2 jest podatna na problem, w którym użytkownik może w pewnych okolicznościach spowodować, że artefakty innego użytkownika zostaną uwzględnione w eksporcie Leap2a jego własnych stron.
- CVE-2017-14163Wysokie
W Mahara przed wersją 15.04.14, 16.x przed 16.04.8, 16.10.x przed 16.10.5 oraz 17.x przed 17.04.3 występuje problem, który pozwala na dostęp do konta użytkownika po zamknięciu przeglądarki bez wylogowania się. Wartość w tabeli usr_session nie jest usuwana, co umożliwia dostęp do konta po ponownym otwarciu przeglądarki i ustawieniu ciasteczka 'mahara' na starą wartość.
- CVE-2026-42164Krytyczne
Mahara przed wersją 25.04.5 i 26.04.0 jest podatny w funkcjonalności bloku/skcji tekstowej, gdy wywołanie jest skonstruowane w określony sposób, co pozwala na przywołanie kopii zapasowej treści z innej sekcji tekstowej.
- CVE-2026-42162Krytyczne
Mahara przed wersją 25.04.5 i 26.04.0 jest podatny na udostępnianie artefaktów innym osobom w określonych okolicznościach, gdy ścieżka pliku do artefaktu na stronie jest manipulowana.
- CVE-2026-42163Krytyczne
Mahara przed wersjami 25.04.5 i 26.04.0 jest podatna na nieautoryzowany dostęp do wewnętrznych kont poprzez Learning Tools Interoperability (LTI) w określonych okolicznościach. Dotyczy to LTI 1.1 i LTI 1.3 Advantage.
- CVE-2017-1000154Krytyczne
Mahara w wersjach 15.04 przed 15.04.8, 15.10 przed 15.10.4 oraz 16.04 przed 16.04.2 jest podatna na niektóre metody uwierzytelniania, które nie korzystają z wbudowanego formularza logowania Mahara. Umożliwia to użytkownikom logowanie się, nawet jeśli ich instytucja została wygaszona lub zawieszona.
Oryginalny opis (angielski, źródło NVD)
Mahara 1.8 before 1.8.6 and 1.9 before 1.9.4 and 1.10 before 1.10.1 and 15.04 before 15.04.0 are vulnerable because group members can lose access to the group files they uploaded if another group member changes the access permissions on them.