- Yama var
- CWE-863
CVE-2026-113607
Moodle Configurable Reports eklentisinde yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Moodle 5.3.0 öncesi için Configurable Reports bloğu, kimlik doğrulaması yapılmış kullanıcıların block_configurable_reports_get_report_data web servisi aracılığıyla kısıtlı raporları okumasına izin veren bir yetkilendirme atlatma açığı içermektedir. check_permissions işlevi başarısız olduğunda, fonksiyon yalnızca bir uyarı ekler ve yine de raporun tüm tablosunu döndürür. Bu durum, oturum açmış herhangi bir kullanıcının rastgele rapor kimlikleri belirterek kullanıcı ve not verileri üzerinde çalışan SQL raporlarını okumasına olanak tanır.
Kaynaktaki açıklama (İngilizce)
Configurable Reports block for Moodle before 5.3.0 contains an authorization bypass vulnerability that allows authenticated users to read restricted reports through the block_configurable_reports_get_report_data web service. When check_permissions fails, the function only adds a warning and still returns the full report table, letting any logged-in user supply arbitrary report ids to read SQL reports over user and grade data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| jleyva Moodle-block Configurablereports | < 5.3.0 | 5.3.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.