Vulnerabilidad en los datos suministrados por el usuario en la función de auto-inicio de sesión móvil en Moodle (CVE-2022-35652)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-601
Redireccionamiento de URL a sitio no confiable (Open Redirect)
Fecha de publicación:
25/07/2022
Última modificación:
07/11/2023
Descripción
Se ha encontrado un problema de redireccionamiento abierto en Moodle debido a un saneamiento inapropiado de los datos suministrados por el usuario en la función de auto-inicio de sesión móvil. Un atacante remoto puede crear un enlace que conlleva a un sitio web confiable, sin embargo, cuando hace clic, redirige a las víctimas a una URL/dominio arbitrario. Una explotación con éxito de esta vulnerabilidad puede permitir a un atacante remoto llevar a cabo un ataque de phishing y robar información potencialmente confidencial
Impacto
Puntuación base 3.x
6.10
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:moodle:moodle:*:*:*:*:*:*:*:* | 3.9.0 (incluyendo) | 3.9.15 (excluyendo) |
| cpe:2.3:a:moodle:moodle:*:*:*:*:*:*:*:* | 3.11.0 (incluyendo) | 3.11.8 (excluyendo) |
| cpe:2.3:a:moodle:moodle:*:*:*:*:*:*:*:* | 4.0.0 (incluyendo) | 4.0.2 (excluyendo) |
| cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:* | ||
| cpe:2.3:o:fedoraproject:fedora:36:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://git.moodle.org/gw?p=moodle.git&a=search&h=HEAD&st=commit&s=MDL-72171
- https://bugzilla.redhat.com/show_bug.cgi?id=2106276
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6MOKYVRNFNAODP2XSMGJ5CRDUZCZKAR3/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MTKUSFPSYFINSQFSOHDQIDVE6FWBEU6V/
- https://moodle.org/mod/forum/discuss.php?d=436459