CVE-2026-42164

Mahara w wersjach 15.04 przed 15.04.9, 15.10 przed 15.10.5 oraz 16.04 przed 16.04.3 jest podatna na ujawnienie haseł lub innych wrażliwych informacji, które mogą być przekazywane przez nietypowe parametry i trafiać do dziennika błędów.

Mahara w wersjach 15.04 przed 15.04.7 oraz 15.10 przed 15.10.3 jest podatna na brak regeneracji identyfikatorów sesji podczas logowania lub wylogowywania. To zwiększa ryzyko ataków typu session fixation dla użytkowników serwisu.

Mahara w wersjach 15.04 przed 15.04.8, 15.10 przed 15.10.4 oraz 16.04 przed 16.04.2 jest podatna na wykonanie kodu PHP, ponieważ Mahara przekazuje fragmenty XML przez funkcję PHP 'unserialize()' podczas importowania szaty graficznej z pliku XML.

Mahara w wersjach 1.8 przed 1.8.7, 1.9 przed 1.9.5, 1.10 przed 1.10.3 oraz 15.04 przed 15.04.0 jest podatna na ataki typu server-side request forgery (SSRF) z powodu braku weryfikacji wszystkich procesów przekierowań curl względem białej lub czarnej listy.

Mahara w wersjach 1.8 przed 1.8.6, 1.9 przed 1.9.4, 1.10 przed 1.10.1 oraz 15.04 przed 15.04.0 jest podatna na problem, w którym członkowie grupy mogą stracić dostęp do plików grupowych, które przesłali, jeśli inny członek grupy zmieni uprawnienia dostępu do tych plików.

Mahara w wersjach 15.04 przed 15.04.8, 15.10 przed 15.10.4 oraz 16.04 przed 16.04.2 jest podatna na problem, w którym użytkownik może w pewnych okolicznościach spowodować, że artefakty innego użytkownika zostaną uwzględnione w eksporcie Leap2a jego własnych stron.

W Mahara przed wersją 15.04.14, 16.x przed 16.04.8, 16.10.x przed 16.10.5 oraz 17.x przed 17.04.3 występuje problem, który pozwala na dostęp do konta użytkownika po zamknięciu przeglądarki bez wylogowania się. Wartość w tabeli usr_session nie jest usuwana, co umożliwia dostęp do konta po ponownym otwarciu przeglądarki i ustawieniu ciasteczka 'mahara' na starą wartość.

Mahara przed wersją 25.04.5 i 26.04.0 jest podatny na udostępnianie artefaktów innym osobom w określonych okolicznościach, gdy ścieżka pliku do artefaktu na stronie jest manipulowana.

Mahara przed wersjami 25.04.5 i 26.04.0 jest podatna na nieautoryzowany dostęp do wewnętrznych kont poprzez Learning Tools Interoperability (LTI) w określonych okolicznościach. Dotyczy to LTI 1.1 i LTI 1.3 Advantage.

Mahara w wersjach 15.04 przed 15.04.8, 15.10 przed 15.10.4 oraz 16.04 przed 16.04.2 jest podatna na niektóre metody uwierzytelniania, które nie korzystają z wbudowanego formularza logowania Mahara. Umożliwia to użytkownikom logowanie się, nawet jeśli ich instytucja została wygaszona lub zawieszona.