根据应用程序自我报告的版本号，远程主机上安装的 Moodle 为 4.1.18之前 4.1.x、4.3.12 之前的 4.3.x 或 4.4.8 之前的 4.4.x，或 4.5.4 之前的 4.5.x。 因此，该服务器受到多个漏洞的影响：

- 需要进行其他检查，以确保用户只能获取他们有权访问的群组数据。

- 消息传递 Web 服务中不充分的功能检查允许查看其他用户的名称和在线状态。

- 需要进行其他检查以防止用户删除其无权修改的课程部分。

- 策略工具中的返回 URL 需要额外审查以防止反射型 XSS 风险。

- 在 Moodle LMS EQUELLA 存储库中发现一个远程代码执行风险。默认情况下，它在启用了 EQUELLA 存储库的站点上仅供教师和管理人员使用。

- 在 Moodle LMS Dropbox 存储库中发现一个远程代码执行风险。默认情况下，它在启用了 Dropbox 存储库的站点上仅供教师和管理人员使用。

- 功能检查不充分导致注册了课程的用户可能会访问其无权访问的其他用户的某些详细信息（全名和配置文件图像 URL）。

- Brickfield 工具的分析申请操作中未包含可防止 CSRF 风险的必要标记。

- 用户的 CSRF 标记不必要地包含在数据库模块编辑和删除页面上的 URL 中。

- 功能检查不充分可能导致查看用户无权访问的 RSS 源内容。

- 管理员重设工具中的操作未包含可防止 CSRF 风险的必要标记。

- 在启用了 Multi-Factor Authentication 的站点上，可以在仅传递首个登录因素（例如传递用户名/密码检查）后使用课程自注册。用户还应必须传递第二个登录因素才能获得自行注册的访问权限。

- 需要进行额外的功能检查，以防止教师通过提交搜索识别用户匿名提交的作业。

- 在启用了 Multi-Factor Authentication 的站点上，用户可能在仅传递首个登录因素（例如传递用户名/密码检查）后访问一些数据。用户还应必须传递第二个因素检查才能获得数据访问权限。

- 多重验证电子邮件因子的撤销/取消操作中缺少检查，可能会导致将电子邮件作为唯一可用的第二因子的用户登录时存在拒绝服务风险。若遭利用，受影响的用户名称会遭到泄露。

- 未记录的 MimeTeX 命令中的不充分审查导致使用 MimeTeX 的站点存在远程代码执行风险（通过 TeX Notation 过滤器）。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根據應用程式自我報告的版本號，遠端主機上安裝的 Moodle 是 4.1.18 之前的 4.1.x 版，或是 4.3.12 之前的 4.3.x 版、4.4.8 之前的 4.4.x 版或 4.5.4 之前的 4.5.x 版。因此，該應用程式受到多個弱點影響：

- 需要其他檢查，以確保使用者只能擷取其目的在於擁有存取權限的群體資料。

- 訊息 Web 服務中的功能檢查不足，可能導致檢視其他使用者的名稱和線上狀態。

- 需要其他檢查才能防止使用者刪除其不具修改權限的課程區段。

- 原則工具中的傳回 URL 需要額外清理，才能防止反映式 XSS 風險。

- 在 Moodle LMS EQUELLA 存放庫中發現遠端程式碼執行風險。依預設，只有教師和管理員可在已啟用 EQUELLA 存放庫的網站上使用。

- 在 Moodle LMS Dropbox 存放庫中發現遠端程式碼執行風險。依預設，只有教師和管理員可在已啟用 Dropbox 存放庫的網站上使用。

- 功能檢查不足，導致已註冊課程的使用者可存取他們沒有存取權限的其他使用者的部分詳細資料 (完整名稱和設定檔影像 URL)。

- Brickfield 工具中的分析要求動作未包含防止 CSRF 風險所需的權杖。

- 使用者的 CSRF token 不必要地包含在資料庫模組編輯和刪除頁面上的 URL 中。

- 由於功能檢查不足，使用者可檢視其無權存取的 RSS 摘要內容。

- 使用者導覽重複導覽動作未包含防止 CSRF 風險所需的權杖。

- 在已啟用多重驗證的網站上，可在僅傳遞第一個登入因素 (例如傳遞使用者名稱/密碼檢查) 之後使用課程自我註冊。使用者也必須傳遞第二個登入因素，才能取得自我註冊的存取權。

- 需要其他功能檢查，才能防止教師透過提交搜尋來識別使用者的匿名作業提交。

- 在已啟用多重驗證的網站上，使用者可在僅傳遞第一個登入因素 (例如傳遞使用者名稱/密碼檢查) 之後存取他們的部分資料。使用者也必須傳遞第二個因素檢查，才能取得該資料的存取權。

- 多重驗證電子郵件因素的撤銷/取消動作中有一個遺漏檢查，對於將電子郵件作為其唯一可用的第二因素登入的使用者，可導致拒絕服務風險。如果遭到惡意利用，受影響的使用者名稱就會遭到洩漏。

- 未記錄的 MimeTeX 命令的清理不充分，導致使用 MimeTeX (透過 TeX 標記法篩選) 的網站有遠端程式碼執行風險。

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

自己報告されたバージョンによると、リモートホストでホストされている Moodle のインストールは 4.1.18 より前の 4.1.x、4.3.12 より前の 4.3.x、4.4.8 より前の 4.4.x、4.5.4 より前の 4.5.x です。したがって、以下の複数の脆弱性による影響を受けます。

- ユーザーがアクセス権を持つことが意図されているコホットデータのみをフェッチできるようにするために、追加のチェックが必要でした。

- メッセージングウェブサービスの機能チェックが不十分なため、他のユーザーの名前とオンラインステータスを表示することが可能でした。

- ユーザーが変更のためのアクセス許可のないコースセクションを削除できないようにするために、追加のチェックが必要でした。

- ポリシー ツール内の戻り URL には、折り返し型 XSS のリスクを防ぐために追加のサニタイズが必要でした。

- リモートコード実行のリスクが Moodle LMS EQUELLA リポジトリで特定されました。デフォルトでは、これを利用できるのは、EQUELLA リポジトリが有効になっているサイトの教師とマネージャーのみです。

- リモートコード実行のリスクが Moodle LMS Dropbox リポジトリで特定されました。デフォルトでは、これを利用できるのは、Dropbox リポジトリが有効になっているサイトの教師とマネージャーのみです。

- 機能チェックが不十分なため、コースに登録しているユーザーが、アクセス許可のない他のユーザーの詳細情報 (フルネームとプロファイル画像 URL) にアクセスすることが可能でした。

- Brickfield ツールの分析要求アクションに、CSRF リスクを防ぐために必要なトークンが含まれていませんでした。

- データベースモジュールの編集ページと削除ページの URL に、ユーザーの CSRF トークンが不必要に含まれていました。

- 機能チェックが不十分なため、ユーザーがアクセス許可のない RSS フィードコンテンツを表示することが可能でした。

- ユーザーツアーの重複ツアーアクションに、CSRF リスクを防ぐために必要なトークンが含まれていませんでした。

- 多要素認証が有効化されているサイトでは、最初のログイン要素 (ユーザー名/パスワードチェックなど) のみを通過した後に、コースの自己登録を使用することが可能でした。また、ユーザーは自己登録へのアクセスを取得する前に第 2 のログイン要素を通過する必要があります。

- 教師がサブミッション検索を通じてユーザーの匿名の割り当てサブミッションを特定できないようにするために、追加の機能チェックが必要でした。

- 多要素認証が有効化されているサイトでは、ユーザーは最初のログイン要素 (ユーザー名/パスワードチェックなど) のみを通過した後に、自分のデータの一部にアクセスできてしまう可能性がありました。また、ユーザーは、そのデータにアクセスする前に第 2 の要素チェックを通過する必要があります。

- 多要素認証メール要素の取り消し/キャンセルアクションでチェックが欠落していることにより、利用可能な第 2 要素としてメールのみを持っているユーザーがログインし、サービス拒否リスクを引き起こす可能性があります。悪用された場合、影響を受けるユーザーの名前が漏えいされる状態になっていました。

- 文書化されていない MimeTeX コマンドでサニタイズが不十分なため、MimeTeX (TeX Notation フィルター経由) を使用するサイトでリモートコード実行のリスクが生じました。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

According to its self-reported version, the Moodle install hosted on the remote host is 4.1.x prior to 4.1.18 or 4.3.x prior to 4.3.12 or 4.4.x prior to 4.4.8 or 4.5.x prior to 4.5.4. It is, therefore, affected by multiple vulnerabilities :

- Additional checks were required to ensure users can only fetch cohort data they are intended to have access to.

- Insufficient capability checks in a messaging web service made it possible to view other users' names and online status.

- Additional checks were required to prevent users deleting course sections they did not have permission to modify.

- The return URL in the policy tool required extra sanitizing to prevent a reflected XSS risk.

- A remote code execution risk was identified in the Moodle LMS EQUELLA repository. By default this was only available to teachers and managers, on sites with the EQUELLA repository enabled.

- A remote code execution risk was identified in the Moodle LMS Dropbox repository. By default this was only available to teachers and managers, on sites with the Dropbox repository enabled.

- Insufficient capability checks made it possible for a user enrolled in a course to access some details (full name and profile image URL) of other users they did not have permission to access.

- The analysis request action in the Brickfield tool did not include the necessary token to prevent a CSRF risk.

- A user's CSRF token was unnecessarily included in the URL on the database module's edit and delete pages.

- Insufficient capability checks made it possible to view RSS feed content a user does not have permission to access.

- The user tours duplicate tour action did not include the necessary token to prevent a CSRF risk.

- On sites with Multi-Factor Authentication enabled, it was possible to use course self enrolment after passing only the first login factor (such as passing a username/password check). The user should also have to pass a second login factor before gaining access to self enrolment.

- Additional capability checks were required to prevent teachers from being able to identify a user's anonymous assignment submissions via the submissions search.

- On sites with Multi-Factor Authentication enabled, it was possible for a user to access some of their data after passing only the first login factor (such as passing a username/password check). The user should have to also pass a second factor check before gaining access to that data.

- A missing check in the Multi-Factor Authentication email factor's revoke/cancel action could lead to a Denial of Service risk for users logging in who have email as their only available second factor. If exploited, the impacted user's name was disclosed.

- Insufficient sanitizing in an undocumented MimeTeX command resulted in a remote code execution risk for sites using MimeTeX (via the TeX Notation filter).

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
114895	Moodle 4.3.x < 4.3.12 多个漏洞	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114895	Moodle 4.3.x < 4.3.12 多個弱點	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114895	Moodle 4.3.x < 4.3.12 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114895	Moodle 4.3.x < 4.3.12 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114897	Moodle 4.5.x < 4.5.4 多个漏洞	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114897	Moodle 4.5.x < 4.5.4 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114896	Moodle 4.4.x < 4.4.8 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114896	Moodle 4.4.x < 4.4.8 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114896	Moodle 4.4.x < 4.4.8 多个漏洞	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114896	Moodle 4.4.x < 4.4.8 多個弱點	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114894	Moodle 4.1.x < 4.1.18 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114894	Moodle 4.1.x < 4.1.18 多个漏洞	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114894	Moodle 4.1.x < 4.1.18 多個弱點	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114894	Moodle 4.1.x < 4.1.18 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114897	Moodle 4.5.x < 4.5.4 多個弱點	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium
114897	Moodle 4.5.x < 4.5.4 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/24	2025/6/24	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium