- Yama var
- CWE-89
CVE-2026-113608
Moodle Configurable Reports eklentisinde filter_var üzerinden SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Moodle için Configurable Reports bloğunun (moodle-block_configurablereports) 5.3.1 sürümünden önceki sürümlerinde, viewreport.php dosyasının filter_var istek parametresi aracılığıyla report_sql::prepare_sql içinde bir SQL enjeksiyonu güvenlik açığı bulunmaktadır. %%FILTER_VAR%% yer tutucusunu kullanarak raporları görüntüleme izni verilen düşük yetkili kullanıcılar, alt sorgular veya UNION SELECT ifadeleri enjekte ederek kullanıcı parola özetleri de dahil olmak üzere veritabanındaki rastgele tabloları okuyabilir.
Kaynaktaki açıklama (İngilizce)
Configurable Reports block for Moodle (moodle-block_configurablereports) before 5.3.1 contains an sql injection vulnerability in report_sql::prepare_sql() via the filter_var request parameter of viewreport.php. Low-privileged users permitted to view reports using the %%FILTER_VAR%% placeholder can inject subqueries or UNION SELECT to read arbitrary database tables, including user password hashes.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| jleyva Moodle-block Configurablereports | < 5.3.1 | 5.3.1 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/1a9fea4b98b093912c6432ea3705c7b1eff4efc0 Yama
- github.com/…ommit/8696899740577559efa274b7a40f3bb4f2b30f32 Yama
- vulncheck.com/…odle-before-5.3.1-sql-injection-via-filter-var Üçüncü taraf
- github.com/…e-block_configurablereports/releases/tag/5.3.1 Diğer
- github.com/…eports/blob/5.2.0/reports/sql/report.class.php Diğer
- github.com/…eports/blob/5.3.0/reports/sql/report.class.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.