CVE-2026-102582
NiskieCVSS 2.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W systemie Moodle stwierdzono błąd polegający na tym, że strona zarządzania ręcznym zapisem nie sprawdzała poprawnie, czy wtyczka ręcznego zapisu jest wyłączona. Użytkownicy z uprawnieniami do zapisów mogli uzyskać bezpośredni dostęp do strony, nawigując do jej adresu URL, co pozwalało zarządzać ręcznymi zapisami nawet po wyłączeniu tej funkcji przez administratora w interfejsie użytkownika.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane zarządzanie zapisami, co może prowadzić do naruszenia integralności danych kursów i niekontrolowanych zmian w rejestracji użytkowników.
Rekomendacja
Zaleca się aktualizację Moodle do wersji z poprawką oraz przegląd konfiguracji uprawnień, aby upewnić się, że wyłączone funkcje są również niedostępne bezpośrednio przez URL.
Inne podatności w Moodle
Zobacz wszystkie- CVE-2016-7038Wysokie
W Moodle w wersjach 2.x i 3.x, tokeny usług webowych nie są unieważniane, gdy hasło użytkownika jest zmieniane lub wymuszane do zmiany.
- CVE-2015-5267Wysokie
W Moodle do wersji 2.6.11 oraz 2.7.x przed 2.7.10, 2.8.x przed 2.8.8 i 2.9.x przed 2.9.2 funkcje random_string i complex_random_string polegają na funkcji mt_rand w PHP, co ułatwia zdalnym atakującym przewidywanie tokenów odzyskiwania haseł metodą brute-force.
- CVE-2015-3272Wysokie
W funkcji clean_param w pliku lib/moodlelib.php w Moodle występuje podatność na otwarte przekierowanie, która pozwala zdalnym atakującym na przekierowywanie użytkowników do dowolnych stron internetowych.
- CVE-2014-7845Wysokie
Funkcja generate_password w Moodle do wersji 2.4.11 oraz w wersjach 2.5.x przed 2.5.9, 2.6.x przed 2.6.6 i 2.7.x przed 2.7.3 nie zapewnia wystarczającej liczby możliwych tymczasowych haseł, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
- CVE-2017-2641Krytyczne
W Moodle w wersjach 2.x i 3.x występuje podatność na wstrzykiwanie SQL, która może być wykorzystana poprzez preferencje użytkownika.
- CVE-2026-102588Średnie
W Moodle funkcja importu ocen z pliku XML nie weryfikuje prawidłowo tokenu CSRF. Atakujący może nakłonić uwierzytelnionego użytkownika z uprawnieniami do zarządzania ocenami do odwiedzenia złośliwej strony, co pozwala na wykonanie nieautoryzowanych żądań w imieniu ofiary. Luka umożliwia zdalnemu atakującemu ustawianie lub nadpisywanie ocen uczniów bez autoryzacji.
- CVE-2026-102587Niskie
W systemie Moodle stwierdzono błąd polegający na tym, że filtry list użytkowników nie egzekwują odpowiednio ograniczeń widoczności pól profilu użytkownika. Uwierzytelniony użytkownik z uprawnieniami menedżera może filtrować listy użytkowników, używając atrybutów profilu, których nie ma prawa bezpośrednio przeglądać, co prowadzi do nieautoryzowanego ujawnienia informacji poprzez wnioskowanie o ukrytych danych użytkownika.
- CVE-2026-102586Średnie
W Moodle niewystarczająca sanityzacja pola nazwy użytkownika na stronie resetowania hasła umożliwia zdalnemu atakującemu przeprowadzenie ataku cross-site scripting (XSS). Poprzez nakłonienie nieuwierzytelnionego użytkownika do otwarcia specjalnie spreparowanego linku resetowania hasła, atakujący może wykonać dowolny skrypt w przeglądarce ofiary.
- CVE-2026-102585Średnie
W Moodle podczas zapisywania użytkownika na kurs i przypisywania go do grupy aplikacja nie weryfikuje, czy wybrana grupa rzeczywiście należy do tego kursu. Uwierzytelniony użytkownik z uprawnieniami nauczyciela może wykorzystać tę lukę, aby dodawać użytkowników do grup w kursach, do których nie ma uprawnień dostępu.
- CVE-2026-102584Średnie
W Moodle z powodu braku sprawdzenia uprawnień użytkownik uwierzytelniony o niskich uprawnieniach może wywołać ponowne obliczenie kar za oceny bez wymaganych uprawnień. Luka pozwala nieuprawnionym użytkownikom modyfikować rekordy kar za oceny, co może zmieniać wyniki oceniania uczniów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Moodle. The manual enrolment management page did not properly check whether the manual enrolment plugin was disabled, allowing users with enrolment permissions to access the page directly by navigating to its URL. Consequently, an authorized user could manage manual enrolments even after an administrator disabled the feature in the user interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS