mod_scorm in Moodle through 2.6.11, 2.7.x before 2.7.11, 2.8.x before 2.8.9, and 2.9.x before 2.9.3 mishandles availability dates, which all

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• moodle moodleдо 2.6.11 включительно
• moodle moodle2.7.0
• moodle moodle2.7.1
• moodle moodle2.7.10
• moodle moodle2.7.2
• moodle moodle2.7.3
• moodle moodle2.7.4
• moodle moodle2.7.5
• moodle moodle2.7.6
• moodle moodle2.7.7
• moodle moodle2.7.8
• moodle moodle2.7.9
• moodle moodle2.8.0
• moodle moodle2.8.1
• moodle moodle2.8.2
• moodle moodle2.8.3
• moodle moodle2.8.4
• moodle moodle2.8.5
• moodle moodle2.8.6
• moodle moodle2.8.7

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-43425Moodle: remote code execution via calculated question types
  58В плане
• CVE-2021-36393In Moodle, an SQL injection risk was identified in the library fetching a user's recent courses.
  55В плане
• CVE-2022-0332A flaw was found in Moodle in versions 3.11 to 3.11.4.
  52В плане
• CVE-2022-35650The vulnerability was found in Moodle, occurs due to input validation error when importing lesson questions.
  45В плане
• CVE-2018-1133An issue was discovered in Moodle 3.x.
  45В плане
• CVE-2021-21809A command execution vulnerability exists in the default legacy spellchecker plugin in Moodle 3.10.
  43В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.