Moodle has a Remote Code Execution risk via file restore
A flaw was identified in Moodle’s backup restore functionality where specially crafted backup files were not properly validated during processing. If a malicious backup file is restored, it could lead to unintended execution of server-side code. Since restore capabilities are typically available to privileged users, exploitation requires authenticated access. Successful exploitation could result in full compromise of the Moodle server.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | moodle/moodle | >= 5.1.0-beta, < 5.1.2, >= 5.0.0-beta, < 5.0.5, < 4.5.9 | 5.1.2, 5.0.5, 4.5.9 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-26045
- https://github.com/moodle/moodle/commit/566054ba11f609a6d48d09b32e85d435d49927da
- https://access.redhat.com/security/cve/CVE-2026-26045
- https://bugzilla.redhat.com/show_bug.cgi?id=2440901
- https://github.com/moodle/moodle
- https://moodle.org/mod/forum/discuss.php?d=473314
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-94- Platforma
- Composer
- Paczka
moodle/moodle- Ujawniono
- 21.02.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-ggxq-2mg9-8966 - CC BY 4.0
Historia podatności: moodle/moodle
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 437
- Pierwsza → ostatnia
- 03.2021 02.2026
- Bez poprawki
- 10
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 16
- Wysoka 68
- Średnia 318
- Niska 35
Ujawnienia w latach
- 2021: 11
- 2022: 285
- 2023: 43
- 2024: 53
- 2025: 33
- 2026: 12
-
Moodle has a Remote Code Execution risk via file restore ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.