Zaloguj się
Deutsch English Español Polski
Wysoka

Moodle Arbitrary PHP code execution by site admins via Shibboleth configuration

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 10:22

It was found in Moodle before version 3.10.1, 3.9.4, 3.8.7 and 3.5.16 that it was possible for site administrators to execute arbitrary PHP scripts via a PHP include used during Shibboleth authentication.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer moodle/moodle >= 3.5, < 3.5.16, >= 3.8, < 3.8.7, >= 3.9, < 3.9.4, >= 3.10, < 3.10.1 3.5.16, 3.8.7, 3.9.4, 3.10.1

Odnośniki

Ocena CVSS 7.2/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-829, CWE-94
Platforma
Composer
Paczka
moodle/moodle
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2jrm-gww7-wch2 - CC BY 4.0

Historia podatności: moodle/moodle

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (437) w archiwum
Wszystkich wpisów
437
Pierwsza → ostatnia
03.2021 02.2026
Bez poprawki
10
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 16
  • Wysoka 68
  • Średnia 318
  • Niska 35

Ujawnienia w latach

Istotność:
  1. Moodle has a Remote Code Execution risk via file restore
    Wysoka · 7.2 CVE-2026-26045 >= 5.1.0-beta, < 5.1.2, >= 5.0.0-beta, < 5.0.5, < 4.5.9 5.1.2, 5.0.5, 4.5.9
  2. Moodle Affected by Improper Restriction of Excessive Authentication Attempts
    Wysoka · 7.5 CVE-2025-67853 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  3. Moodle authentication bypass vulnerability
    Wysoka · 8.1 CVE-2025-67848 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  4. Moodle Cross-site Scripting (XSS) vulnerability
    Wysoka · 7.3 CVE-2025-67849 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  5. Moodle vulnerable to Cross-site Scripting
    Wysoka · 7.3 CVE-2025-67850 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  6. Moodle affected by a code injection vulnerability
    Wysoka · 8.8 CVE-2025-67847 >= 5.1.0-beta, < 5.1.1, >= 5.0.0-beta, < 5.0.4, >= 4.5.0-beta, < 4.5.8, >= 4.2.0-beta, < 4.4.12, < 4.1.22 5.1.1, 5.0.4, 4.5.8, 4.4.12, 4.1.22
  7. Moodle vulnerable to brute-force password guesses
    Wysoka · 7.5 CVE-2025-62399 >= 5.0.0-beta, < 5.0.3, >= 4.5.0-beta, < 4.5.7, >= 4.2.0-beta, < 4.4.11, < 4.1.21 5.0.3, 4.5.7, 4.4.11, 4.1.21
  8. Moodle has an authenticated remote code execution risk in the Moodle LMS EQUELLA repository
    Wysoka · 8.8 CVE-2025-3642 < 4.1.18, >= 4.3.0-beta, < 4.3.12, >= 4.4.0-beta, < 4.4.8, >= 4.5.0-beta, < 4.5.4 4.1.18, 4.3.12, 4.4.8, 4.5.4
  9. Moodle has an authenticated remote code execution risk in the Moodle LMS Dropbox repository
    Wysoka · 8.8 CVE-2025-3641 < 4.1.18, >= 4.3.0-beta, < 4.3.12, >= 4.4.0-beta, < 4.4.8, >= 4.5.0-beta, < 4.5.4 4.1.18, 4.3.12, 4.4.8, 4.5.4
  10. Moodle allows unauthenticated REST API user data exposure
    Wysoka · 7.5 CVE-2025-32044 >= 4.5.0-beta, < 4.5.3 4.5.3
  11. Moodle allows reflected XSS via question bank filter
    Wysoka · 8.3 CVE-2025-26530 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10 4.5.2, 4.4.6, 4.3.10
  12. Moodle has a stored XSS risk in admin live log
    Wysoka · 8.3 CVE-2025-26529 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10, < 4.1.16 4.5.2, 4.4.6, 4.3.10, 4.1.16
  13. Moodle has an arbitrary file read risk through pdfTeX
    Wysoka · 8.6 CVE-2025-26525 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10, < 4.1.16 4.5.2, 4.4.6, 4.3.10, 4.1.16
  14. Moodle has a SQL injection risk in course search module list filter
    Wysoka · 8.1 CVE-2025-26533 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10, < 4.1.16 4.5.2, 4.4.6, 4.3.10, 4.1.16
  15. Moodle Remote Code Execution vulnerability
    Wysoka · 8.1 CVE-2024-43425 < 4.1.12, >= 4.2.0-beta, < 4.2.9, >= 4.3.0-beta, < 4.3.6, >= 4.4.0-beta, < 4.4.2 4.1.12, 4.2.9, 4.3.6, 4.4.2
  16. Moodle has CSRF risk in Feedback non-respondents report
    Wysoka · 8.1 CVE-2024-43434 < 4.1.12, >= 4.2.0-beta, < 4.2.9, >= 4.3.0-beta, < 4.3.6, >= 4.4.0-beta, < 4.4.2 4.1.12, 4.2.9, 4.3.6, 4.4.2
  17. Moodle ReCAPTCHA can be bypassed on the login page
    Wysoka · 7.5 CVE-2024-34009 >= 4.3.0, < 4.3.4 4.3.4
  18. Moodle CSRF risk in analytics management of models
    Wysoka · 8.8 CVE-2024-34008 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  19. Moodle Authenticated LFI risk in some misconfigured shared hosting environments
    Wysoka · 6.5 CVE-2024-34005 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  20. Moodle Authenticated LFI risk in some misconfigured shared hosting environments
    Wysoka · 6.5 CVE-2024-34002 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  21. Moodle CSRF risk in admin preset tool management of presets
    Wysoka · 8.4 CVE-2024-34001 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  22. Moodle Improper Input Validation
    Wysoka CVE-2024-33999 >= 4.3.0, < 4.3.4 4.3.4
  23. Uncontrolled Resource Consumption in moodle
    Wysoka · 7.5 CVE-2024-25978 >= 4.3.0, < 4.3.3, >= 4.2.0, < 4.2.6, < 4.1.9 4.3.3, 4.2.6, 4.1.9
  24. Cross-Site Request Forgery in moodle
    Wysoka · 8.8 CVE-2024-25982 >= 4.3.0, < 4.3.3, >= 4.2.0, < 4.2.6, < 4.1.9 4.3.3, 4.2.6, 4.1.9
  25. Moodle Code Injection vulnerability
    Wysoka · 8.8 CVE-2023-5540 < 4.3.0-rc2 4.3.0-rc2
  26. Moodle vulnerable to Server Side Request Forgery
    Wysoka · 7.5 CVE-2023-35133 >= 4.2.0, < 4.2.1, >= 4.1.0, < 4.1.4, >= 4.0.0, < 4.0.9, >= 3.10.0, < 3.11.15, < 3.9.22 4.2.1, 4.1.4, 4.0.9, 3.11.15, 3.9.22
  27. Moodle SQL Injection vulnerability
    Wysoka · 7.3 CVE-2023-30944 < 4.2.0-rc2 4.2.0-rc2
  28. Moodle's Mustache pix helper contained a potential Mustache injection risk if combined with user input
    Krytyczna · 9.8 CVE-2023-28333 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.7, >= 3.11.0, < 3.11.13, < 3.9.20 4.1.2, 4.0.7, 3.11.13, 3.9.20
  29. Moodle SQL Injection vulnerability
    Wysoka · 8.8 CVE-2023-28329 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.7, >= 3.11.0, < 3.11.13, < 3.9.20 4.1.2, 4.0.7, 3.11.13, 3.9.20
  30. Moodle vulnerable to Cross-site Request Forgery
    Wysoka · 8.8 CVE-2023-28335 >= 4.1.0, < 4.1.2 4.1.2
  31. Moodle vulnerable to Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2021-36395 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  32. Moodle Session Fixation vulnerability
    Krytyczna · 9.8 CVE-2021-36394 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  33. Moodle vulnerable to Server-Side Request Forgery
    Wysoka · 7.5 CVE-2021-36396 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  34. Moodle SQL Injection vulnerability
    Krytyczna · 9.8 CVE-2021-36393 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  35. Moodle SQL Injection vulnerability
    Krytyczna · 9.8 CVE-2021-36392 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  36. Moodle Improper Access Control vulnerability
    Wysoka · 8.2 CVE-2023-23923 < 3.9.19, >= 3.10.0, < 3.11.12, >= 4.0.0-beta, < 4.0.6, >= 4.1.0-beta, < 4.1.1 3.9.19, 3.11.12, 4.0.6, 4.1.1
  37. Moodle blind Server-Side Request Forgery (SSRF) vulnerability in LTI provider library
    Krytyczna · 9.1 CVE-2022-45152 >= 3.9, < 3.9.18, >= 3.11, < 3.11.11, >= 4.0, < 4.0.5 3.9.18, 3.11.11, 4.0.5
  38. Moodle Cross-Site Request Forgery (CSRF)
    Wysoka · 8.8 CVE-2022-2986 >= 3.11, < 3.11.9, >= 4.0, < 4.0.3 3.11.9, 4.0.3
  39. Moodle Minor SQL injection risk in admin user browsing
    Krytyczna · 9.8 CVE-2022-40315 >= 3.9, < 3.9.17, >= 3.11, < 3.11.10, >= 4.0, < 4.0.4 3.9.17, 3.11.10, 4.0.4
  40. Moodle remote code execution
    Krytyczna · 9.8 CVE-2022-40314 < 3.9.17, >= 3.11, < 3.11.10, >= 4.0, < 4.0.4 3.9.17, 3.11.10, 4.0.4
  41. Moodle Stored Cross-site Scripting and page denial of service
    Wysoka · 7.1 CVE-2022-40313 >= 3.9, < 3.9.17, >= 3.11, < 3.11.10, >= 4.0, < 4.0.4 3.9.17, 3.11.10, 4.0.4
  42. Moodle Incorrect Authorization vulnerability
    Wysoka · 8.8 CVE-2020-14321 >= 3.9.0-beta, < 3.9.1, >= 3.8.0-beta, < 3.8.4, >= 3.6.0-beta, < 3.7.7, < 3.5.13 3.9.1, 3.8.4, 3.7.7, 3.5.13
  43. Moodle PostScript Code Injection
    Krytyczna · 9.8 CVE-2022-35649 >= 3.9, < 3.9.15, >= 3.11, < 3.11.8, >= 4.0, < 4.0.2 3.9.15, 3.11.8, 4.0.2
  44. Moodle Arbitrary file read when importing lesson questions
    Wysoka · 7.5 CVE-2022-35650 >= 3.9, < 3.9.15, >= 3.11, < 3.11.8, >= 4.0, < 4.0.2 3.9.15, 3.11.8, 4.0.2
  45. Moodle contains CSRF vulnerability
    Wysoka · 8.8 CVE-2021-43559 >= 3.11, < 3.11.4, >= 3.10, < 3.10.8, >= 3.9, < 3.9.11 3.11.4, 3.10.8, 3.9.11
  46. Moodle command execution vulnerability exists in the default legacy spellchecker plugin
    Krytyczna · 9.1 CVE-2021-21809 = 3.10.0, = 3.11.2, = 3.8.0 brak poprawki
  47. Moodle Arbitrary PHP code execution by site admins via Shibboleth configuration ten wpis
    Wysoka · 7.2 CVE-2021-20187 >= 3.5, < 3.5.16, >= 3.8, < 3.8.7, >= 3.9, < 3.9.4, >= 3.10, < 3.10.1 3.5.16, 3.8.7, 3.9.4, 3.10.1
  48. Moodle Denial of Service
    Wysoka · 7.5 CVE-2020-25630 >= 3.9, < 3.9.2, >= 3.8, < 3.8.5, >= 3.7, < 3.7.8, >= 3.5, < 3.5.14 3.9.2, 3.8.5, 3.7.8, 3.5.14
  49. Moodle incorrect access control
    Wysoka · 8.8 CVE-2020-25629 >= 3.9, < 3.9.2, >= 3.8, < 3.8.5, >= 3.7, < 3.7.8, >= 3.5, < 3.5.14 3.9.2, 3.8.5, 3.7.8, 3.5.14
  50. Moodle vulnerable to RCE
    Wysoka · 8.8 CVE-2020-10738 >= 3.8, < 3.8.3, >= 3.7, < 3.7.6, >= 3.6, < 3.6.10, >= 3.5, < 3.5.12 3.8.3, 3.7.6, 3.6.10, 3.5.12
  51. Moodle Oauth 2 Insufficiently Protects Against Compromise
    Krytyczna · 9.1 CVE-2019-14880 >= 3.7.0, < 3.7.3, >= 3.6.0, < 3.6.7, >= 3.5.0, < 3.5.9 3.7.3, 3.6.7, 3.5.9
  52. Moodle CSRF Vulnerability
    Wysoka · 8.8 CVE-2019-10186 >= 3.7.0, < 3.7.1, >= 3.6.0, < 3.6.5, >= 3.5.0, < 3.5.7 3.7.1, 3.6.5, 3.5.7
  53. Moodle all messaging conversations could be viewed
    Wysoka · 7.5 CVE-2019-10154 >= 3.6, < 3.6.4 3.6.4
  54. Incorrect Calculation in moodle
    Krytyczna · 9.8 CVE-2022-30600 >= 4.0, < 4.0.1, >= 3.9, < 3.9.14, >= 3.10, < 3.10.11, >= 3.11, < 3.11.7 4.0.1, 3.9.14, 3.10.11, 3.11.7
  55. SQL injection in moodle
    Krytyczna · 9.8 CVE-2022-30599 >= 4.0, < 4.0.1, >= 3.11, < 3.11.7, >= 3.10, < 3.10.11, >= 3.9, < 3.9.14 4.0.1, 3.11.7, 3.10.11, 3.9.14
  56. Moodle Unrestricted file upload vulnerability
    Wysoka · 8.8 CVE-2016-9187 >= 2.0.1, <= 3.2.1 brak poprawki
  57. Moodle SQL injection via user preferences
    Krytyczna · 9.8 CVE-2017-2641 >= 2.7, < 2.7.19, >= 3.0, < 3.0.9, >= 3.1, < 3.1.5, >= 3.2, < 3.2.2 2.7.19, 3.0.9, 3.1.5, 3.2.2
  58. Moodle Portfolio script allows instantiation of class chosen by user
    Wysoka · 8.1 CVE-2018-1137 >= 3.1, < 3.1.12, >= 3.2, < 3.2.9, >= 3.3, < 3.3.6, >= 3.4, < 3.4.3 3.1.12, 3.2.9, 3.3.6, 3.4.3
  59. Moodle SSRF Vulnerability
    Wysoka · 7.5 CVE-2019-6970 >= 3.5.0, < 3.5.4 3.5.4
  60. Moodle XML import of ddwtos could lead to intentional remote code execution
    Wysoka · 8.8 CVE-2018-14630 >= 3.5.0, < 3.5.2, >= 3.4.0, < 3.4.5, >= 3.2.0, < 3.3.8, < 3.1.14 3.5.2, 3.4.5, 3.3.8, 3.1.14
Pokaż więcej (20) Widać 60 z 84

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.