CVE-2026-102588
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Moodle funkcja importu ocen z pliku XML nie weryfikuje prawidłowo tokenu CSRF. Atakujący może nakłonić uwierzytelnionego użytkownika z uprawnieniami do zarządzania ocenami do odwiedzenia złośliwej strony, co pozwala na wykonanie nieautoryzowanych żądań w imieniu ofiary. Luka umożliwia zdalnemu atakującemu ustawianie lub nadpisywanie ocen uczniów bez autoryzacji.
Ocena ryzyka
Atakujący może bez autoryzacji modyfikować oceny uczniów, co prowadzi do naruszenia integralności danych oceniania i może mieć skutki prawne oraz akademickie. Wymaga jedynie nakłonienia uprawnionego użytkownika do kliknięcia złośliwego linku.
Rekomendacja
Zaktualizuj Moodle do wersji zawierającej poprawkę walidacji tokenu CSRF w imporcie ocen XML. Dodatkowo rozważ wdrożenie nagłówka SameSite dla ciasteczek sesyjnych.
Inne podatności w Moodle
Zobacz wszystkie- CVE-2016-7038Wysokie
W Moodle w wersjach 2.x i 3.x, tokeny usług webowych nie są unieważniane, gdy hasło użytkownika jest zmieniane lub wymuszane do zmiany.
- CVE-2015-5267Wysokie
W Moodle do wersji 2.6.11 oraz 2.7.x przed 2.7.10, 2.8.x przed 2.8.8 i 2.9.x przed 2.9.2 funkcje random_string i complex_random_string polegają na funkcji mt_rand w PHP, co ułatwia zdalnym atakującym przewidywanie tokenów odzyskiwania haseł metodą brute-force.
- CVE-2015-3272Wysokie
W funkcji clean_param w pliku lib/moodlelib.php w Moodle występuje podatność na otwarte przekierowanie, która pozwala zdalnym atakującym na przekierowywanie użytkowników do dowolnych stron internetowych.
- CVE-2014-7845Wysokie
Funkcja generate_password w Moodle do wersji 2.4.11 oraz w wersjach 2.5.x przed 2.5.9, 2.6.x przed 2.6.6 i 2.7.x przed 2.7.3 nie zapewnia wystarczającej liczby możliwych tymczasowych haseł, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
- CVE-2017-2641Krytyczne
W Moodle w wersjach 2.x i 3.x występuje podatność na wstrzykiwanie SQL, która może być wykorzystana poprzez preferencje użytkownika.
- CVE-2026-102587Niskie
W systemie Moodle stwierdzono błąd polegający na tym, że filtry list użytkowników nie egzekwują odpowiednio ograniczeń widoczności pól profilu użytkownika. Uwierzytelniony użytkownik z uprawnieniami menedżera może filtrować listy użytkowników, używając atrybutów profilu, których nie ma prawa bezpośrednio przeglądać, co prowadzi do nieautoryzowanego ujawnienia informacji poprzez wnioskowanie o ukrytych danych użytkownika.
- CVE-2026-102586Średnie
W Moodle niewystarczająca sanityzacja pola nazwy użytkownika na stronie resetowania hasła umożliwia zdalnemu atakującemu przeprowadzenie ataku cross-site scripting (XSS). Poprzez nakłonienie nieuwierzytelnionego użytkownika do otwarcia specjalnie spreparowanego linku resetowania hasła, atakujący może wykonać dowolny skrypt w przeglądarce ofiary.
- CVE-2026-102585Średnie
W Moodle podczas zapisywania użytkownika na kurs i przypisywania go do grupy aplikacja nie weryfikuje, czy wybrana grupa rzeczywiście należy do tego kursu. Uwierzytelniony użytkownik z uprawnieniami nauczyciela może wykorzystać tę lukę, aby dodawać użytkowników do grup w kursach, do których nie ma uprawnień dostępu.
- CVE-2026-102584Średnie
W Moodle z powodu braku sprawdzenia uprawnień użytkownik uwierzytelniony o niskich uprawnieniach może wywołać ponowne obliczenie kar za oceny bez wymaganych uprawnień. Luka pozwala nieuprawnionym użytkownikom modyfikować rekordy kar za oceny, co może zmieniać wyniki oceniania uczniów.
- CVE-2026-102583Niskie
W systemie Moodle stwierdzono błąd polegający na nieprawidłowym sprawdzaniu uprawnień w usłudze internetowej generowania obrazów w edytorze AI. Uwierzytelniony użytkownik może wywołać tę funkcję bez posiadania wymaganego uprawnienia, co pozwala nieautoryzowanym użytkownikom na dostęp i korzystanie z funkcji generowania obrazów AI.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Moodle. The XML grade import feature lacks proper Cross-Site Request Forgery (CSRF) token validation. By tricking an authenticated user with grade management permissions into visiting a malicious webpage, an attacker can trigger unauthorized requests on the victim's behalf. This flaw allows a remote attacker to set or overwrite student grades without authorization.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS