CVE-2026-102585
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Moodle podczas zapisywania użytkownika na kurs i przypisywania go do grupy aplikacja nie weryfikuje, czy wybrana grupa rzeczywiście należy do tego kursu. Uwierzytelniony użytkownik z uprawnieniami nauczyciela może wykorzystać tę lukę, aby dodawać użytkowników do grup w kursach, do których nie ma uprawnień dostępu.
Ocena ryzyka
Nauczyciel może nieautoryzowanie dodawać użytkowników do grup w kursach, do których nie powinien mieć dostępu, co narusza kontrolę dostępu i może prowadzić do wycieku informacji lub nieprawidłowego zarządzania członkostwem.
Rekomendacja
Zaktualizuj Moodle do wersji zawierającej poprawkę weryfikacji przynależności grupy do kursu. Dodatkowo przejrzyj uprawnienia nauczycieli i ogranicz możliwość zarządzania grupami między kursami.
Inne podatności w Moodle
Zobacz wszystkie- CVE-2016-7038Wysokie
W Moodle w wersjach 2.x i 3.x, tokeny usług webowych nie są unieważniane, gdy hasło użytkownika jest zmieniane lub wymuszane do zmiany.
- CVE-2015-5267Wysokie
W Moodle do wersji 2.6.11 oraz 2.7.x przed 2.7.10, 2.8.x przed 2.8.8 i 2.9.x przed 2.9.2 funkcje random_string i complex_random_string polegają na funkcji mt_rand w PHP, co ułatwia zdalnym atakującym przewidywanie tokenów odzyskiwania haseł metodą brute-force.
- CVE-2015-3272Wysokie
W funkcji clean_param w pliku lib/moodlelib.php w Moodle występuje podatność na otwarte przekierowanie, która pozwala zdalnym atakującym na przekierowywanie użytkowników do dowolnych stron internetowych.
- CVE-2014-7845Wysokie
Funkcja generate_password w Moodle do wersji 2.4.11 oraz w wersjach 2.5.x przed 2.5.9, 2.6.x przed 2.6.6 i 2.7.x przed 2.7.3 nie zapewnia wystarczającej liczby możliwych tymczasowych haseł, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
- CVE-2017-2641Krytyczne
W Moodle w wersjach 2.x i 3.x występuje podatność na wstrzykiwanie SQL, która może być wykorzystana poprzez preferencje użytkownika.
- CVE-2026-102588Średnie
W Moodle funkcja importu ocen z pliku XML nie weryfikuje prawidłowo tokenu CSRF. Atakujący może nakłonić uwierzytelnionego użytkownika z uprawnieniami do zarządzania ocenami do odwiedzenia złośliwej strony, co pozwala na wykonanie nieautoryzowanych żądań w imieniu ofiary. Luka umożliwia zdalnemu atakującemu ustawianie lub nadpisywanie ocen uczniów bez autoryzacji.
- CVE-2026-102587Niskie
W systemie Moodle stwierdzono błąd polegający na tym, że filtry list użytkowników nie egzekwują odpowiednio ograniczeń widoczności pól profilu użytkownika. Uwierzytelniony użytkownik z uprawnieniami menedżera może filtrować listy użytkowników, używając atrybutów profilu, których nie ma prawa bezpośrednio przeglądać, co prowadzi do nieautoryzowanego ujawnienia informacji poprzez wnioskowanie o ukrytych danych użytkownika.
- CVE-2026-102586Średnie
W Moodle niewystarczająca sanityzacja pola nazwy użytkownika na stronie resetowania hasła umożliwia zdalnemu atakującemu przeprowadzenie ataku cross-site scripting (XSS). Poprzez nakłonienie nieuwierzytelnionego użytkownika do otwarcia specjalnie spreparowanego linku resetowania hasła, atakujący może wykonać dowolny skrypt w przeglądarce ofiary.
- CVE-2026-102584Średnie
W Moodle z powodu braku sprawdzenia uprawnień użytkownik uwierzytelniony o niskich uprawnieniach może wywołać ponowne obliczenie kar za oceny bez wymaganych uprawnień. Luka pozwala nieuprawnionym użytkownikom modyfikować rekordy kar za oceny, co może zmieniać wyniki oceniania uczniów.
- CVE-2026-102583Niskie
W systemie Moodle stwierdzono błąd polegający na nieprawidłowym sprawdzaniu uprawnień w usłudze internetowej generowania obrazów w edytorze AI. Uwierzytelniony użytkownik może wywołać tę funkcję bez posiadania wymaganego uprawnienia, co pozwala nieautoryzowanym użytkownikom na dostęp i korzystanie z funkcji generowania obrazów AI.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Moodle. When enrolling a user into a course while assigning them to a group, the application does not verify whether the selected group actually belongs to that course. An authenticated user with teacher privileges could exploit this flaw to add users to groups within courses they do not have authorization to access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS