リモートホストにインストールされている Moodle のバージョンは、3.9.15 より前の 3.9.x、3.11.8 より前の 3.11.x、または 4.0.2 より前の 4.0.x です。そのため、以下の複数の脆弱性の影響を受けます。

 - 9.50 より前のバージョン の GhostScript を実行しているサイトの、リモートコード実行 (RCE) が遅れる実行パラメーターからのコードインジェクション。(CVE-2022-35649)

 - 教師、マネージャー、管理者がデフォルトで利用できるレッスンの質問のインポートでパスチェックが不十分なことによる任意のファイルの読み取り。(CVE-2022-35650)

 - SCORM トラック詳細のサニタイズが不十分なことによる、保存型クロスサイトスクリプティング (XSS) およびブラインドのサーバーサイドリクエスト偽造 (SSRF) の脆弱性。(CVE-2022-35651)

 - モバイル自動ログイン URL のサニタイズが行われないことによるオープンリダイレクトの脆弱性。(CVE-2022-35652)

 - LTI モジュールのクロスサイトスクリプティング (XSS) の脆弱性は、認証されていないユーザーにのみ影響を与えます。(CVE-2022-35653)

注意:  スキャナーはこの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Moodle installed on the remote host is 3.9.x prior to 3.9.15, 3.11.x prior to 3.11.8 or 4.0.x prior to 4.0.2. It is, therefore, affected by multiple vulnerabilities:

 - A code injection through an omitted execution parameter elading to Remote Code Execution (RCE) for sites running GhostScript versions older than 9.50. (CVE-2022-35649)

 - An arbitrary file read due to an insufficient path checks in a lesson question import available to teachers, managers and admins by default. (CVE-2022-35650)

 - A stored Cross-Site Scripting (XSS) and blind Server-Side Request Forgery (SSRF) vulnerabilities due to an insufficient sanitizing of SCORM track details. (CVE-2022-35651)

 - An open redirect vulnerability due to the lack of sanitization in the mobile auto-login URL. (CVE-2022-35652)

 - A Cross-Site Scripting (XSS) vulnerability in the LTI module only affecting unauthentication users. (CVE-2022-35653)

Note that the scanner has not attempted to exploit this issue but has instead relied only on application's self-reported version number.

遠端主機上安裝的 Moodle 是 3.9.15 之前的 3.9.x 版、3.11.8 之前的 3.11.x 版或 4.0.2 之前的 4.0.x 版。因此會受到多個弱點影響：

 - 針對執行 GhostScript 9.50 之前版本的網站，可以透過省略的執行參數插入程式碼，進而觸發遠端程式碼執行 (RCE)。(CVE-2022-35649)

 - 存在任意檔案讀取弱點，這是因為教師、管理者和系統管理員依預設可使用的課程問題匯入中存在路徑檢查不充分的問題。(CVE-2022-35650)

 - 存在儲存型跨網站指令碼 (XSS) 弱點和盲目式伺服器端要求偽造 (SSRF) 弱點，這是未充分清理 SCORM 追蹤詳細資料所導致。(CVE-2022-35651)

 - 存在開放式重新導向弱點，這是未清理行動自動登入 URL 所導致。(CVE-2022-35652)

 - LTI 模組中的跨網站指令碼 (XSS) 弱點，僅影響未經驗證的使用者。(CVE-2022-35653)

請注意，掃描程式並未嘗試利用此問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

远程主机上安装的 Moodle 版本为低于 3.9.15 的 3.9.x、低于 3.11.8 的 3.11.x 或低于 4.0.2 的 4.0.x。因此，该应用程序受到多个漏洞影响：

 - 对于运行版本早于 9.50的 GhostScript 的站点，通过遗漏执行参数导致代码注入，从而引发远程代码执行 (RCE)。(CVE-2022-35649) 

 - 由于默认情况下教师、管理员和系统管理员可以使用课程问题导入中的课程问题导入中的路径检查，因此存在任意文件读取。(CVE-2022-35650)

 - 存在存储型跨站脚本 (XSS) 和服务器端盲目请求伪造 (SSRF) 漏洞，这是由于 SCORM 跟踪详情审查不充分所致。(CVE-2022-35651)

 - 存在一个开放重定向漏洞，这是由于移动设备自动登录 URL 中缺少审查所致。(CVE-2022-35652)

 - LTI 模块中存在跨站脚本 (XSS) 漏洞，仅会影响未经身份验证的用户。(CVE-2022-35653)

请注意，扫描程序并未试图利用此问题，而只依赖于应用程序自我报告的版本号。

ID	Name	Product	Family	Published	Updated	Severity
113602	Moodle 4.0.x < 4.0.2 の複数の脆弱性	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113602	Moodle 4.0.x < 4.0.2 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113602	Moodle 4.0.x < 4.0.2 多個弱點	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113602	Moodle 4.0.x < 4.0.2 多个漏洞	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113601	Moodle 3.11.x < 3.11.8 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113601	Moodle 3.11.x < 3.11.8 の複数の脆弱性	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113601	Moodle 3.11.x < 3.11.8 多個弱點	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113601	Moodle 3.11.x < 3.11.8 多个漏洞	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113600	Moodle 3.9.x < 3.9.15 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113600	Moodle 3.9.x < 3.9.15 多個弱點	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113600	Moodle 3.9.x < 3.9.15 多个漏洞	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical
113600	Moodle 3.9.x < 3.9.15 の複数の脆弱性	Web App Scanning	Component Vulnerability	2/20/2023	3/14/2023	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical