根据应用程序自我报告的版本号，远程主机上安装的 Moodle 为低于 4.1.10 的版本、或为低于 4.2.7 的 4.2.x 版、低于 4.3.3 的 4.3.x 版。因此该软件受到多个漏洞的影响。

- 分析模型的管理员管理操作未包含可防止 CSRF 风险的必要标记。

- 站点日志报告需要对事件描述进行额外编码，以确保内容中的任何 HTML 以明文显示而不是被呈现。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原数据库活动模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原 wiki 模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原工作坊模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原反馈模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 管理员重设工具中的操作未包含可防止 CSRF 风险的必要标记。

- 课程概览报告中显示的 ID 号需要额外审查以防止存储型 XSS 风险。

- 对参与者页表中的参与者名称转义不充分，导致与某些功能交互时会产生存储型 XSS 风险。

- 打开公式编辑器时需要进行额外的审查，以防止编辑其他用户的公式时产生存储型 XSS 风险。

- 日历 Web 服务中对允许事件类型的验证存在缺陷，导致部分用户能够创建其无权发布的事件类型/受众群体。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 日历 Web 服务中允许的事件类型验证不正确导致某些用户有可能使用他们无权发布的类型/访问对象来创建事件。 (CVE-2024-33996)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
114726	Moodle < 4.1.10 多个漏洞	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114728	Moodle 4.3.x < 4.3.3 多个漏洞	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114727	Moodle 4.2.x < 4.2.7 多个漏洞	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
261119	Linux Distros 未修补的漏洞：CVE-2024-33996	Nessus	Misc.	2025/9/3	2025/9/3	medium

检测

插件搜索

high

high

high

medium