远程主机上安装的 Moodle 版本为低于 3.9.18 的 3.9.x、低于 3.11.11 的 3.11.x 或低于 4.0.5 的 4.0.x。因此，该应用程序受到多个漏洞影响：

 - 重定向至刚还原的课程时，URL 中不必要包含用户 CSRF 标记，进而导致信息泄露。(CVE-2022-45149)

 - 存在跨站脚本 (XSS) 漏洞，这是由于策略工具的返回 URL 中缺少审查所致。(CVE-2022-45150)

 - 因“social”用户配置文件类型缺少审查而导致的存储跨站脚本 (XSS) 漏洞。(CVE-2022-45151)

 - 由于 LTI 提供程序库未使用 Moodle 内置的 cURL 帮助程序，导致存在服务器端请求伪造 (SSRF) 漏洞。(CVE-2022-45152)

请注意，扫描程序并未试图利用此问题，而只依赖于应用程序自我报告的版本号。

The version of Moodle installed on the remote host is 3.9.x prior to 3.9.18, 3.11.x prior to 3.11.11 or 4.0.x prior to 4.0.5. It is, therefore, affected by multiple vulnerabilities:

 - An information disclosure due to a user CSRF token being unnecessarily included in the URL during the redirection to a course which has been just restored. (CVE-2022-45149)

 - A Cross-Site Scripting (XSS) vulnerability due to the lack of sanitization of the return URL in the policy tool. (CVE-2022-45150)

 - A stored Cross-Site Scripting (XSS) vulnerability due to the lack of sanitization of the 'social' user profile field type. (CVE-2022-45151)

 - A blind Server-Side Request Forgery (SSRF) vulnerability due to the LTI provider library not using Moodle inbuilt cURL helper. (CVE-2022-45152)

Note that the scanner has not attempted to exploit this issue but has instead relied only on application's self-reported version number.

遠端主機上安裝的 Moodle 是 3.9.18 之前的 3.9.x 版、3.11.11 之前的 3.11.x 版或 4.0.5 之前的 4.0.x 版。因此會受到多個弱點影響：

 - 資訊洩漏弱點，這是因為在重新導向至剛還原的課程期間，URL 中包含非必要的使用者 CSRF 權杖。(CVE-2022-45149)

 - 跨網站指令碼 (XSS) 弱點，這是未清理原則工具中的傳回 URL 所導致。(CVE-2022-45150)

 - 儲存型跨網站指令碼 (XSS) 弱點，這是未清理「社會」使用者設定檔欄位類型所導致。(CVE-2022-45151)

 - 盲目式伺服器端要求偽造 (SSRF) 弱點，這是 LTI 提供者程式庫未使用 Moodle 內建的 cURL 協助程式所導致。(CVE-2022-45152)

請注意，掃描程式並未嘗試利用此問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

リモートホストにインストールされている Moodle のバージョンは、3.9.18 より前の 3.9.x、3.11.11 より前の 3.11.x、または 4.0.5 より前の 4.0.x です。そのため、以下の複数の脆弱性の影響を受けます。

 - 復元されたばかりのコースへのリダイレクト中に、必要のないユーザーの CSRF トークンが URL に含まれることによる、情報漏洩。(CVE-2022-45149)

 - ポリシーツールでリターン URL がサニタイズされないことによる、クロスサイトスクリプティング (XSS) の脆弱性。(CVE-2022-45150)

 -「social」ユーザープロファイルフィールドタイプがサニタイズされないことによる、保存型クロスサイトスクリプティング (XSS) の脆弱性。(CVE-2022-45151)

 - LTI プロバイダーライブラリが Moodle の内蔵 cURL ヘルパーを使用していないことによる、ブラインドサーバーサイドリクエスト偽造 (SSRF) の脆弱性。(CVE-2022-45152)

注意:  スキャナーはこの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Moodle のバージョンは、3.9.18 より前の 3.9.x、3.11.11 より前の 3.11.x、または 4.0.5 より前の 4.0.x です。そのため、以下の複数の脆弱性の影響を受けます。

 - 復元されたばかりのコースへのリダイレクト中に、必要のないユーザーの CSRF トークンが URL に含まれることによる、情報漏洩。(CVE-2022-45149)

 - ポリシーツールでリターン URL がサニタイズされないことによる、クロスサイトスクリプティング (XSS) の脆弱性。(CVE-2022-45150)

 -「social」ユーザープロファイルフィールドタイプがサニタイズされないことによる、保存型クロスサイトスクリプティング (XSS) の脆弱性。(CVE-2022-45151)

 - LTI プロバイダーライブラリが Moodle の内蔵 cURL ヘルパーを使用していないことによる、ブラインドサーバーサイドリクエスト偽造 (SSRF) の脆弱性。(CVE-2022-45152)

注意: スキャナーはこの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote Fedora 35 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2022-cb7084ae1c advisory.

    Fixes for multiple CVEs

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 36 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2022-f7fdcb1820 advisory.

    Fixes for multiple CVEs

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 37 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2022-74a9c8e95f advisory.

    Fixes for multiple CVEs

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 36 ホストには、FEDORA-2022-f7fdcb1820 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - これは、7.14.3 より前の video.js パッケージに影響します。track タグの src 属性により、HTML エスケープをバイパスし、任意のコードを実行する可能性があります。(CVE-2021-23414)

  - Moodle に、コースリダイレクト URL の HTTP リクエスト生成元検証が不十分なことによる脆弱性が見つかりました。ユーザーが復元したばかりのコースにリダイレクトされるときに、URL にユーザーの CSRF トークンが不必要に含まれていました。リモート攻撃者が被害者を騙して、特別に細工された Web ページにアクセスさせ、脆弱な Web サイトで被害者に代わって任意の操作を実行する可能性があります。この欠陥により、攻撃者がクロスサイトリクエストフォージェリ攻撃を実行する可能性があります。(CVE-2022-45149)

  - 折り返し型クロスサイトスクリプティングの脆弱性が Moodle で検出されました。この欠陥の原因は、ポリシーツールでユーザー提供データのサニタイズが不十分なことにあります。攻撃者が被害者を騙して、脆弱な Web サイトのコンテキストでユーザーのブラウザで任意の HTML およびスクリプトコードを実行する特別に細工されたリンクを開かせる可能性があります。この脆弱性により、攻撃者がクロスサイトスクリプティング (XSS) 攻撃を実行して、機密情報にアクセスし、Web ページを変更する可能性があります。(CVE-2022-45150)

  - Moodle で Stored-XSS 脆弱性が検出されました。この脆弱性は、ソーシャルユーザープロファイルフィールドのユーザー指定データのサニタイズが不十分なために存在します。攻撃者が、脆弱な Web サイトのコンテキストでユーザーのブラウザに任意の HTML およびスクリプトコードを挿入して実行する可能性があります。(CVE-2022-45151)

  - Moodle でブラインドサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が検出されました。この欠陥は、LTI プロバイダーライブラリのユーザー指定入力の検証が不十分なために存在します。ライブラリは、Moodle に組み込まれた cURL ヘルパーを利用していないため、ブラインド SSRF のリスクが発生します。攻撃者は、特別に細工された HTTP リクエストを送信し、アプリケーションを騙して任意のシステムへのリクエストを開始させる可能性があります。この脆弱性により、リモート攻撃者が SSRF 攻撃を実行できます。(CVE-2022-45152)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 35 ホストには、FEDORA-2022-cb7084ae1c のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - これは、7.14.3 より前の video.js パッケージに影響します。track タグの src 属性により、HTML エスケープをバイパスし、任意のコードを実行する可能性があります。(CVE-2021-23414)

  - Moodle に、コースリダイレクト URL の HTTP リクエスト生成元検証が不十分なことによる脆弱性が見つかりました。ユーザーが復元したばかりのコースにリダイレクトされるときに、URL にユーザーの CSRF トークンが不必要に含まれていました。リモート攻撃者が被害者を騙して、特別に細工された Web ページにアクセスさせ、脆弱な Web サイトで被害者に代わって任意の操作を実行する可能性があります。この欠陥により、攻撃者がクロスサイトリクエストフォージェリ攻撃を実行する可能性があります。(CVE-2022-45149)

  - 折り返し型クロスサイトスクリプティングの脆弱性が Moodle で検出されました。この欠陥の原因は、ポリシーツールでユーザー提供データのサニタイズが不十分なことにあります。攻撃者が被害者を騙して、脆弱な Web サイトのコンテキストでユーザーのブラウザで任意の HTML およびスクリプトコードを実行する特別に細工されたリンクを開かせる可能性があります。この脆弱性により、攻撃者がクロスサイトスクリプティング (XSS) 攻撃を実行して、機密情報にアクセスし、Web ページを変更する可能性があります。(CVE-2022-45150)

  - Moodle で Stored-XSS 脆弱性が検出されました。この脆弱性は、ソーシャルユーザープロファイルフィールドのユーザー指定データのサニタイズが不十分なために存在します。攻撃者が、脆弱な Web サイトのコンテキストでユーザーのブラウザに任意の HTML およびスクリプトコードを挿入して実行する可能性があります。(CVE-2022-45151)

  - Moodle でブラインドサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が検出されました。この欠陥は、LTI プロバイダーライブラリのユーザー指定入力の検証が不十分なために存在します。ライブラリは、Moodle に組み込まれた cURL ヘルパーを利用していないため、ブラインド SSRF のリスクが発生します。攻撃者は、特別に細工された HTTP リクエストを送信し、アプリケーションを騙して任意のシステムへのリクエストを開始させる可能性があります。この脆弱性により、リモート攻撃者が SSRF 攻撃を実行できます。(CVE-2022-45152)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
113589	Moodle 3.9.x < 3.9.18 多个漏洞	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113590	Moodle 3.11.x < 3.11.11 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113590	Moodle 3.11.x < 3.11.11 多個弱點	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113590	Moodle 3.11.x < 3.11.11 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113590	Moodle 3.11.x < 3.11.11 多个漏洞	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113591	Moodle 4.0.x < 4.0.5 多个漏洞	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113591	Moodle 4.0.x < 4.0.5 多個弱點	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113589	Moodle 3.9.x < 3.9.18 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113589	Moodle 3.9.x < 3.9.18 多個弱點	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113591	Moodle 4.0.x < 4.0.5 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113589	Moodle 3.9.x < 3.9.18 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
113591	Moodle 4.0.x < 4.0.5 の複数の脆弱性	Web App Scanning	Component Vulnerability	2023/2/20	2023/3/14	critical
169079	Fedora 35 : moodle (2022-cb7084ae1c)	Nessus	Fedora Local Security Checks	2022/12/22	2024/11/14	critical
169254	Fedora 36 : moodle (2022-f7fdcb1820)	Nessus	Fedora Local Security Checks	2022/12/23	2024/11/14	critical
211405	Fedora 37 : moodle (2022-74a9c8e95f)	Nessus	Fedora Local Security Checks	2024/11/15	2024/11/15	critical
169254	Fedora 36: moodle (2022-f7fdcb1820)	Nessus	Fedora Local Security Checks	2022/12/23	2024/11/14	critical
169079	Fedora 35: moodle (2022-cb7084ae1c)	Nessus	Fedora Local Security Checks	2022/12/22	2024/11/14	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical