Anmelden
Deutsch English Español Polski
Hoch

Moodle Cross-site Scripting (XSS) vulnerability

  • Veröffentlicht: 03.02.2026
  • Aktualisiert: 11.10.2026 10:22

A flaw was found in Moodle. This Cross-site Scripting (XSS) vulnerability, caused by improper sanitization of AI prompt responses, allows attackers to inject malicious HTML or script into web pages. When other users view these compromised pages, their sessions could be stolen, or the user interface could be manipulated.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket moodle/moodle < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1

Verweise

CVSS-Wert 7.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Schwäche (CWE)
CWE-79
Plattform
Composer
Paket
moodle/moodle
Veröffentlicht
03.02.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-mhf6-pp52-8wqj - CC BY 4.0

Schwachstellenhistorie: moodle/moodle

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (437) im Archiv
Einträge insgesamt
437
Erste → letzte
03.2021 02.2026
Ohne Fix
10
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 16
  • Hoch 68
  • Mittel 318
  • Niedrig 35

Veröffentlichungen pro Jahr

Schweregrad:
  1. Moodle has a Remote Code Execution risk via file restore
    Hoch · 7.2 CVE-2026-26045 >= 5.1.0-beta, < 5.1.2, >= 5.0.0-beta, < 5.0.5, < 4.5.9 5.1.2, 5.0.5, 4.5.9
  2. Moodle Affected by Improper Restriction of Excessive Authentication Attempts
    Hoch · 7.5 CVE-2025-67853 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  3. Moodle authentication bypass vulnerability
    Hoch · 8.1 CVE-2025-67848 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  4. Moodle Cross-site Scripting (XSS) vulnerability dieser Eintrag
    Hoch · 7.3 CVE-2025-67849 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  5. Moodle vulnerable to Cross-site Scripting
    Hoch · 7.3 CVE-2025-67850 < 4.1.22, >= 4.4.0-beta, < 4.4.12, >= 4.5.0-beta, < 4.5.8, >= 5.0.0-beta, < 5.0.4, >= 5.1.0-beta, < 5.1.1 4.1.22, 4.4.12, 4.5.8, 5.0.4, 5.1.1
  6. Moodle affected by a code injection vulnerability
    Hoch · 8.8 CVE-2025-67847 >= 5.1.0-beta, < 5.1.1, >= 5.0.0-beta, < 5.0.4, >= 4.5.0-beta, < 4.5.8, >= 4.2.0-beta, < 4.4.12, < 4.1.22 5.1.1, 5.0.4, 4.5.8, 4.4.12, 4.1.22
  7. Moodle vulnerable to brute-force password guesses
    Hoch · 7.5 CVE-2025-62399 >= 5.0.0-beta, < 5.0.3, >= 4.5.0-beta, < 4.5.7, >= 4.2.0-beta, < 4.4.11, < 4.1.21 5.0.3, 4.5.7, 4.4.11, 4.1.21
  8. Moodle has an authenticated remote code execution risk in the Moodle LMS EQUELLA repository
    Hoch · 8.8 CVE-2025-3642 < 4.1.18, >= 4.3.0-beta, < 4.3.12, >= 4.4.0-beta, < 4.4.8, >= 4.5.0-beta, < 4.5.4 4.1.18, 4.3.12, 4.4.8, 4.5.4
  9. Moodle has an authenticated remote code execution risk in the Moodle LMS Dropbox repository
    Hoch · 8.8 CVE-2025-3641 < 4.1.18, >= 4.3.0-beta, < 4.3.12, >= 4.4.0-beta, < 4.4.8, >= 4.5.0-beta, < 4.5.4 4.1.18, 4.3.12, 4.4.8, 4.5.4
  10. Moodle allows unauthenticated REST API user data exposure
    Hoch · 7.5 CVE-2025-32044 >= 4.5.0-beta, < 4.5.3 4.5.3
  11. Moodle allows reflected XSS via question bank filter
    Hoch · 8.3 CVE-2025-26530 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10 4.5.2, 4.4.6, 4.3.10
  12. Moodle has a stored XSS risk in admin live log
    Hoch · 8.3 CVE-2025-26529 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10, < 4.1.16 4.5.2, 4.4.6, 4.3.10, 4.1.16
  13. Moodle has an arbitrary file read risk through pdfTeX
    Hoch · 8.6 CVE-2025-26525 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10, < 4.1.16 4.5.2, 4.4.6, 4.3.10, 4.1.16
  14. Moodle has a SQL injection risk in course search module list filter
    Hoch · 8.1 CVE-2025-26533 >= 4.5.0-beta, < 4.5.2, >= 4.4.0-beta, < 4.4.6, >= 4.3.0-beta, < 4.3.10, < 4.1.16 4.5.2, 4.4.6, 4.3.10, 4.1.16
  15. Moodle Remote Code Execution vulnerability
    Hoch · 8.1 CVE-2024-43425 < 4.1.12, >= 4.2.0-beta, < 4.2.9, >= 4.3.0-beta, < 4.3.6, >= 4.4.0-beta, < 4.4.2 4.1.12, 4.2.9, 4.3.6, 4.4.2
  16. Moodle has CSRF risk in Feedback non-respondents report
    Hoch · 8.1 CVE-2024-43434 < 4.1.12, >= 4.2.0-beta, < 4.2.9, >= 4.3.0-beta, < 4.3.6, >= 4.4.0-beta, < 4.4.2 4.1.12, 4.2.9, 4.3.6, 4.4.2
  17. Moodle ReCAPTCHA can be bypassed on the login page
    Hoch · 7.5 CVE-2024-34009 >= 4.3.0, < 4.3.4 4.3.4
  18. Moodle CSRF risk in analytics management of models
    Hoch · 8.8 CVE-2024-34008 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  19. Moodle Authenticated LFI risk in some misconfigured shared hosting environments
    Hoch · 6.5 CVE-2024-34005 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  20. Moodle Authenticated LFI risk in some misconfigured shared hosting environments
    Hoch · 6.5 CVE-2024-34002 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  21. Moodle CSRF risk in admin preset tool management of presets
    Hoch · 8.4 CVE-2024-34001 >= 4.3.0, < 4.3.4, >= 4.2.0, < 4.2.7, < 4.1.10 4.3.4, 4.2.7, 4.1.10
  22. Moodle Improper Input Validation
    Hoch CVE-2024-33999 >= 4.3.0, < 4.3.4 4.3.4
  23. Uncontrolled Resource Consumption in moodle
    Hoch · 7.5 CVE-2024-25978 >= 4.3.0, < 4.3.3, >= 4.2.0, < 4.2.6, < 4.1.9 4.3.3, 4.2.6, 4.1.9
  24. Cross-Site Request Forgery in moodle
    Hoch · 8.8 CVE-2024-25982 >= 4.3.0, < 4.3.3, >= 4.2.0, < 4.2.6, < 4.1.9 4.3.3, 4.2.6, 4.1.9
  25. Moodle Code Injection vulnerability
    Hoch · 8.8 CVE-2023-5540 < 4.3.0-rc2 4.3.0-rc2
  26. Moodle vulnerable to Server Side Request Forgery
    Hoch · 7.5 CVE-2023-35133 >= 4.2.0, < 4.2.1, >= 4.1.0, < 4.1.4, >= 4.0.0, < 4.0.9, >= 3.10.0, < 3.11.15, < 3.9.22 4.2.1, 4.1.4, 4.0.9, 3.11.15, 3.9.22
  27. Moodle SQL Injection vulnerability
    Hoch · 7.3 CVE-2023-30944 < 4.2.0-rc2 4.2.0-rc2
  28. Moodle's Mustache pix helper contained a potential Mustache injection risk if combined with user input
    Kritisch · 9.8 CVE-2023-28333 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.7, >= 3.11.0, < 3.11.13, < 3.9.20 4.1.2, 4.0.7, 3.11.13, 3.9.20
  29. Moodle SQL Injection vulnerability
    Hoch · 8.8 CVE-2023-28329 >= 4.1.0, < 4.1.2, >= 4.0.0, < 4.0.7, >= 3.11.0, < 3.11.13, < 3.9.20 4.1.2, 4.0.7, 3.11.13, 3.9.20
  30. Moodle vulnerable to Cross-site Request Forgery
    Hoch · 8.8 CVE-2023-28335 >= 4.1.0, < 4.1.2 4.1.2
  31. Moodle vulnerable to Uncontrolled Resource Consumption
    Hoch · 7.5 CVE-2021-36395 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  32. Moodle Session Fixation vulnerability
    Kritisch · 9.8 CVE-2021-36394 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  33. Moodle vulnerable to Server-Side Request Forgery
    Hoch · 7.5 CVE-2021-36396 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  34. Moodle SQL Injection vulnerability
    Kritisch · 9.8 CVE-2021-36393 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  35. Moodle SQL Injection vulnerability
    Kritisch · 9.8 CVE-2021-36392 >= 3.11.0-beta, < 3.11.1, >= 3.10.0-beta, < 3.10.5, < 3.9.8 3.11.1, 3.10.5, 3.9.8
  36. Moodle Improper Access Control vulnerability
    Hoch · 8.2 CVE-2023-23923 < 3.9.19, >= 3.10.0, < 3.11.12, >= 4.0.0-beta, < 4.0.6, >= 4.1.0-beta, < 4.1.1 3.9.19, 3.11.12, 4.0.6, 4.1.1
  37. Moodle blind Server-Side Request Forgery (SSRF) vulnerability in LTI provider library
    Kritisch · 9.1 CVE-2022-45152 >= 3.9, < 3.9.18, >= 3.11, < 3.11.11, >= 4.0, < 4.0.5 3.9.18, 3.11.11, 4.0.5
  38. Moodle Cross-Site Request Forgery (CSRF)
    Hoch · 8.8 CVE-2022-2986 >= 3.11, < 3.11.9, >= 4.0, < 4.0.3 3.11.9, 4.0.3
  39. Moodle Minor SQL injection risk in admin user browsing
    Kritisch · 9.8 CVE-2022-40315 >= 3.9, < 3.9.17, >= 3.11, < 3.11.10, >= 4.0, < 4.0.4 3.9.17, 3.11.10, 4.0.4
  40. Moodle remote code execution
    Kritisch · 9.8 CVE-2022-40314 < 3.9.17, >= 3.11, < 3.11.10, >= 4.0, < 4.0.4 3.9.17, 3.11.10, 4.0.4
Mehr anzeigen (20) 40 von 84 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.