Moodle安全限制绕过漏洞及跨站请求伪造漏洞

Moodle安全限制绕过漏洞及跨站请求伪造漏洞

发布日期：2014-01-20
更新日期：2014-01-22

受影响系统：
Moodle Moodle 2.5.x
Moodle Moodle 2.3.x
描述：
--------------------------------------------------------------------------------
CVE(CAN) ID: CVE-2014-0009,CVE-2014-0010

Moodle是一个课程管理系统（CMS），也被叫做学习管理系统（LMS）或虚拟学习环境（VLE）。

Moodle 2.3-2.3.10, 2.4-2.4.7, 2.5-2.5.4, 2.6版本在login-as功能的实现上存在错误，可导致攻击者以另一组的其他用户登录；也可使用户通过HTTP请求执行某些操作，而不验证这些请求。

<*来源：Itamar Tzadok
 
  链接：http://secunia.com/advisories/56556/
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

Moodle
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://moodle.org/

https://moodle.org/mod/forum/discuss.php?d=252415
https://moodle.org/mod/forum/discuss.php?d=252416