According to its self-reported version, the Moodle install hosted on the remote host is prior to 4.1.10, or 4.2.x prior to 4.2.7 or 4.3.x prior to 4.3.3. It is, therefore, affected by multiple vulnerabilities.

- Actions in the admin management of analytics models did not include the necessary token to prevent a CSRF risk.

- The site log report required additional encoding of event descriptions to ensure any HTML in the content is displayed in plaintext instead of being rendered.

- In a shared hosting environment that has been misconfigured to allow access to other users' content, a Moodle user with both access to restore database activity modules and direct access to the web server outside of the Moodle webroot could execute a local file include.

- In a shared hosting environment that has been misconfigured to allow access to other users' content, a Moodle user with both access to restore wiki modules and direct access to the web server outside of the Moodle webroot could execute a local file include.

- In a shared hosting environment that has been misconfigured to allow access to other users' content, a Moodle user with both access to restore workshop modules and direct access to the web server outside of the Moodle webroot could execute a local file include.

- In a shared hosting environment that has been misconfigured to allow access to other users' content, a Moodle user with both access to restore feedback modules and direct access to the web server outside of the Moodle webroot could execute a local file include.

- Actions in the admin preset tool did not include the necessary token to prevent a CSRF risk.

- ID numbers displayed in the lesson overview report required additional sanitizing to prevent a stored XSS risk.

- Insufficient escaping of participants' names in the participants page table resulted in a stored XSS risk when interacting with some features.

- Additional sanitizing was required when opening the equation editor, to prevent a stored XSS risk when editing another user's equation.

- Incorrect validation of allowed event types in a calendar web service made it possible for some users to create events with types/audiences they did not have permission to publish to.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根據應用程式自我報告的版本號，遠端主機上安裝的 Moodle 是 4.1.10 之前版本，或是 4.2.7 之前的 4.2.x 版、4.3.3 之前的 4.3.x 版。因此會受到多個弱點影響。

- 分析模型的管理員管理動作未包含防止 CSRF 風險所需的權杖。

- 網站記錄報告需要對事件描述進行其他編碼，以確保內容中的所有 HTML 都以純文字顯示，而非轉譯。

- 在錯誤設定為允許存取其他使用者內容的共用主控環境中，具有還原資料庫活動模組存取權和 Moodle webroot 之外 Web 伺服器直接存取權的 Moodle 使用者可執行本機檔案包含攻擊。

- 在錯誤設定為允許存取其他使用者內容的共用主控環境中，具有還原 wiki 模組存取權和 Moodle webroot 之外 Web 伺服器直接存取權的 Moodle 使用者可執行本機檔案包含攻擊。

- 在錯誤設定為允許存取其他使用者內容的共用主控環境中，具有還原工作坊模組存取權和 Moodle webroot 之外 Web 伺服器直接存取權的 Moodle 使用者可執行本機檔案包含攻擊。

- 在錯誤設定為允許存取其他使用者內容的共用主控環境中，具有還原回饋模組存取權和 Moodle webroot 之外 Web 伺服器直接存取權的 Moodle 使用者可執行本機檔案包含攻擊。

- 管理員預設工具中的動作未包含防止 CSRF 風險所需的權杖。

- 課程概覽報告中顯示的 ID 號碼需要進行額外清理，才能防止儲存型 XSS 風險。

- 參與者頁面表格中的參與者名稱逸出不足，導致在與某些功能互動時會產生儲存型 XSS 風險。

- 開啟等式編輯器時需要進行其他清理，以防止在編輯其他使用者的等式時產生儲存型 XSS 風險。

- 未正確驗證行事歷 Web 服務中允許的事件類型，導致部分使用者能夠建立他們沒有發布權限的事件類型/目標對象。

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据应用程序自我报告的版本号，远程主机上安装的 Moodle 为低于 4.1.10 的版本、或为低于 4.2.7 的 4.2.x 版、低于 4.3.3 的 4.3.x 版。因此该软件受到多个漏洞的影响。

- 分析模型的管理员管理操作未包含可防止 CSRF 风险的必要标记。

- 站点日志报告需要对事件描述进行额外编码，以确保内容中的任何 HTML 以明文显示而不是被呈现。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原数据库活动模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原 wiki 模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原工作坊模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 在被错误配置为允许访问其他用户内容的共享托管环境中，同时具有还原反馈模块访问权限和 Moodle webroot 之外 Web 服务器直接访问权限的 Moodle 用户可执行本地文件包含攻击。

- 管理员重设工具中的操作未包含可防止 CSRF 风险的必要标记。

- 课程概览报告中显示的 ID 号需要额外审查以防止存储型 XSS 风险。

- 对参与者页表中的参与者名称转义不充分，导致与某些功能交互时会产生存储型 XSS 风险。

- 打开公式编辑器时需要进行额外的审查，以防止编辑其他用户的公式时产生存储型 XSS 风险。

- 日历 Web 服务中对允许事件类型的验证存在缺陷，导致部分用户能够创建其无权发布的事件类型/受众群体。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

自己報告されたバージョンによると、リモートホストでホストされている Moodle のインストールは 4.1.10 より前、4.2.7 より前の 4.2.x、4.3.3 より前の 4.3.x です。したがって、複数の脆弱性の影響を受けます。

- 分析モデルの管理者管理のアクションに、CSRF リスクを防ぐために必要なトークンが含まれていませんでした。

- サイトログレポートでは、コンテンツ内の HTML がレンダリングされる代わりにプレーンテキストで表示されるように、イベントの説明を追加でエンコードする必要がありました。

- 他のユーザーのコンテンツにアクセスできるように誤って設定された共有ホスティング環境で、データベースアクティビティモジュールを復元するアクセス権と、Moodle のウェブルート外のウェブサーバーへの直接アクセス権の両方を持つ Moodle ユーザーが、ローカルファイルインクルードを実行できる可能性があります。

- 他のユーザーのコンテンツにアクセスできるように誤って設定された共有ホスティング環境で、wiki モジュールを復元するアクセス権と、Moodle のウェブルート外のウェブサーバーへの直接アクセス権の両方を持つ Moodle ユーザーが、ローカルファイルインクルードを実行できる可能性があります。

- 他のユーザーのコンテンツにアクセスできるように誤って設定された共有ホスティング環境で、ワークショップモジュールを復元するアクセス権と、Moodle のウェブルート外のウェブサーバーへの直接アクセス権の両方を持つ Moodle ユーザーが、ローカルファイルインクルードを実行できる可能性があります。

- 他のユーザーのコンテンツにアクセスできるように誤って設定された共有ホスティング環境で、フィードバックモジュールを復元するアクセス権と、Moodle のウェブルート外のウェブサーバーへの直接アクセス権の両方を持つ Moodle ユーザーが、ローカルファイルインクルードを実行できる可能性があります。

- 管理者の事前設定ツールのアクションに、CSRF リスクを防ぐために必要なトークンが含まれていませんでした。

- レッスン概要レポートに表示される ID 番号には、蓄積型 XSS リスクを防ぐために追加のサニタイズが必要でした。

- 参加者ページテーブル内の参加者名のエスケープが不十分だったため、一部の機能の操作時に蓄積型 XSS のリスクが発生しました。

- 他のユーザーの数式を編集するときに蓄積型 XSS リスクを防ぐために、数式エディターを開く際には追加のサニタイズが必要でした。

- カレンダーウェブサービスで許可されたイベントタイプの検証が不適切だったため、一部のユーザーが、公開権限のないタイプ/対象ユーザーでイベントを作成できる状態になっていました。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Additional sanitizing was required when opening the equation editor to prevent a stored XSS risk when     editing another user's equation. (CVE-2024-33997)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 他のユーザー数式を編集する際の蓄積型 XSS リスクを回避するために、数式エディターを開く際に追加のサニタイズが必要でした。CVE-2024-33997

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 開啟等式編輯器時需要進行額外的清理以防止在編輯其他使用者的等式時發生已儲存的 XSS 風險。 (CVE-2024-33997)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 打开公式编辑器时需要进行额外的审查以防止在编辑其他用户的公式时出现存储的 XSS 风险。 (CVE-2024-33997)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
114727	Moodle 4.2.x < 4.2.7 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114727	Moodle 4.2.x < 4.2.7 多個弱點	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114726	Moodle < 4.1.10 多个漏洞	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114728	Moodle 4.3.x < 4.3.3 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114726	Moodle < 4.1.10 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114728	Moodle 4.3.x < 4.3.3 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114728	Moodle 4.3.x < 4.3.3 多個弱點	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114727	Moodle 4.2.x < 4.2.7 多个漏洞	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114728	Moodle 4.3.x < 4.3.3 多个漏洞	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114727	Moodle 4.2.x < 4.2.7 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114726	Moodle < 4.1.10 多個弱點	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
114726	Moodle < 4.1.10 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/4/10	2025/4/10	high
261120	Linux Distros Unpatched Vulnerability : CVE-2024-33997	Nessus	Misc.	2025/9/3	2025/9/3	medium
261120	Linux Distros のパッチ未適用の脆弱性: CVE-2024-33997	Nessus	Misc.	2025/9/3	2025/9/3	medium
261120	Linux Distros 未修補的弱點：CVE-2024-33997	Nessus	Misc.	2025/9/3	2025/9/3	medium
261120	Linux Distros 未修补的漏洞：CVE-2024-33997	Nessus	Misc.	2025/9/3	2025/9/3	medium

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

medium

medium

medium

medium