Descripción
Se han publicado 5 vulnerabilidades en Moodle, 3 de severidad crítica y 2 de severidad baja, que podrían permitir ataques de tipo XSS, la ejecución arbitraria de código PHP, la divulgación de información o la denegación de servicio en el lado del cliente.
- CVE-2021-20183: La validación insuficiente de las consultas de búsqueda, desde la plantilla de búsqueda de entradas, podría permitir a un atacante llevar a cabo ataques XSS reflejados.
- CVE-2021-20186: El saneado insuficiente del contenido TeX, cuando el filtro de notación TeX está activado, podría permitir a un atacante llevar a cabo ataques del tipo XSS almacenado.
- CVE-2021-20187: Los administradores del sitio podrían ejecutar scripts PHP arbitrarios a través de un include PHP, utilizado durante la autenticación de Shibboleth. Se ha asignado el identificador para esta vulnerabilidad.
Para el resto de vulnerabilidades, de severidad baja, se han asignado los identificadores CVE-2021-20184 y CVE-2021-20185.
Recursos afectados
- Versión 3.10.
- Desde la versión 3.9, hasta la 3.9.3.
- Desde la versión 3.8, hasta la 3.8.6.
- Desde la versión 3.5, hasta la 3.5.15.
- Versiones anteriores sin soporte.
Solución
Aplicar las siguientes actualizaciones, en función de la versión afectada:
- 3.10.1.
- 3.9.4.
- 3.8.7.
- 3.5.16.
