CVE-2026-123655

W Moodle w wersjach 2.x i 3.x, tokeny usług webowych nie są unieważniane, gdy hasło użytkownika jest zmieniane lub wymuszane do zmiany.

W Moodle do wersji 2.6.11 oraz 2.7.x przed 2.7.10, 2.8.x przed 2.8.8 i 2.9.x przed 2.9.2 funkcje random_string i complex_random_string polegają na funkcji mt_rand w PHP, co ułatwia zdalnym atakującym przewidywanie tokenów odzyskiwania haseł metodą brute-force.

W funkcji clean_param w pliku lib/moodlelib.php w Moodle występuje podatność na otwarte przekierowanie, która pozwala zdalnym atakującym na przekierowywanie użytkowników do dowolnych stron internetowych.

Funkcja generate_password w Moodle do wersji 2.4.11 oraz w wersjach 2.5.x przed 2.5.9, 2.6.x przed 2.6.6 i 2.7.x przed 2.7.3 nie zapewnia wystarczającej liczby możliwych tymczasowych haseł, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.

W Moodle w wersjach 2.x i 3.x występuje podatność na wstrzykiwanie SQL, która może być wykorzystana poprzez preferencje użytkownika.

Moodle w wersjach 4.2.0 do 4.5.15, 5.0.0 do 5.0.11, 5.1.0 do 5.1.8, 5.2.0 do 5.2.4 oraz 5.3.0 zawiera brak sprawdzenia uprawnień w usłudze sieciowej core_grades_get_gradeitems, co pozwala zapisanym studentom przeglądać ukryte elementy ocen. Uwierzytelnieni użytkownicy kursu mogą wywołać usługę AJAX lub mobilną, aby wylistować identyfikatory, nazwy i kategorie ukrytych elementów ocen, które dziennik ocen przed nimi ukrywa.

Moodle w wersjach 4.2.0 do 4.5.15, 5.0.0 do 5.0.11, 5.1.0 do 5.1.8, 5.2.0 do 5.2.4 oraz 5.3.0 zawiera podatność na ujawnienie informacji w usłudze sieciowej core_grades_get_feedback. Usługa nie sprawdza przynależności do grup ani zapisów, więc nauczyciele bez prawa edycji mogą iterować wartości userid, aby odczytać opinie o ocenach innych grup oraz nazwiska i pola tożsamości użytkowników, takie jak adres e-mail.

Moodle 5.3.0, 5.2.0 do 5.2.4, 5.1.0 do 5.1.8, 5.0.0 do 5.0.11 oraz do 4.5.15 zawiera podatność na wstrzyknięcie SQL w pluginie zapisów na zewnętrznej bazie danych poprzez idnumber kursu. Nauczyciele z prawem edycji mogą zapisać ładunek z ukośnikiem i cudzysłowem w idnumber, który wykonuje się podczas zaplanowanej synchronizacji na zewnętrznych bazach MySQL/MariaDB, odczytując dane i manipulując wynikami zapisów.

Moodle 5.3.0, 5.2.0 do 5.2.4, 5.1.0 do 5.1.8, 5.0.0 do 5.0.11 oraz do 4.5.15 zawiera podatność na path traversal w formacie importu pytań Blackboard. Nauczyciele z prawem importu pytań lub edycji lekcji mogą przesłać spreparowany plik zip z wartościami img src zawierającymi sekwencje ../, kopiując pliki serwera, takie jak config.php, do swojego obszaru roboczego.

W Moodle funkcja importu ocen z pliku XML nie weryfikuje prawidłowo tokenu CSRF. Atakujący może nakłonić uwierzytelnionego użytkownika z uprawnieniami do zarządzania ocenami do odwiedzenia złośliwej strony, co pozwala na wykonanie nieautoryzowanych żądań w imieniu ofiary. Luka umożliwia zdalnemu atakującemu ustawianie lub nadpisywanie ocen uczniów bez autoryzacji.