Vulnerabilidad en Moodle (CVE-2025-53021)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

24/06/2025

Última modificación:

09/07/2025

Descripción

Una vulnerabilidad de fijación de sesión en Moodle 3.x a 3.11.18 permite a atacantes no autenticados secuestrar sesiones de usuario mediante el parámetro sesskey. Este parámetro se puede obtener sin autenticación y reutilizar en el flujo de inicio de sesión de OAuth2, lo que vincula la sesión de la víctima a la del atacante. Una explotación exitosa resulta en la apropiación total de la cuenta. Según la página de versiones de Moodle, "Las correcciones de errores de seguridad en 3.11.x finalizaron el 11 de diciembre de 2023". NOTA: Esta vulnerabilidad solo afecta a los productos que ya no reciben soporte del fabricante.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.20 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno