Межсайтовый скриптинг в Moodle

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение.

1. Уязвимость существует из-за недостаточной обработки входных данных в параметре "etitle" в сценарии blog/edit.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта. Для успешной эксплуатации уязвимости требуется валидная учетная запись с привилегиями добавления блога.

2. Уязвимость существует из-за недостаточной проверки подлинности HTTP запросов перед выполнением некоторых действий. Удаленный пользователь может произвести CSRF атаку и изменить email администратора, что может позволить злоумышленнику восстановить пароль и получить административный доступ к приложению.

URL производителя: moodle.org

Решение: Установите последнюю версию 1.6.7 или 1.7.5 с сайта производителя.