Pfad
Start
Standort
madasolis GmbH, Deutschland
Gemeldete Sicherheitslücken
45+
Antwort
in der Regel innerhalb eines Werktags

Software, KI und E-Learning für Hochschulen und Unternehmen.

Von der Webanwendung bis zum Moodle-Plugin: Wir planen, bauen und betreuen Ihre Software und prüfen sie mit dem Wissen aus über 45 gemeldeten Sicherheitslücken.

Projekt anfragen → Beispiele ansehen ↓

1Wie würden Sie das bei uns lösen?

5 Fälle, keine Kundendaten

Fünf typische Situationen und wie wir sie angehen. Wählen Sie die, die Ihrer am nächsten kommt.

AusgangslageEin Plugin aus Moodle-3.x-Zeiten, der Entwickler ist nicht mehr erreichbar, das nächste Upgrade steht an.

Abb. 1.1: Lebenslauf eines Plugins
MOODLE 3.13.93.11 4.1 LTS4.5 LTS5.05.1 VORHER local_report 1.x NICHT MEHR GEPFLEGT NACH DER ÜBERNAHME local_report 2.x 1 2UPGRADE 3PFLEGE JE RELEASE GETESTET IN DER CI
  1. ①Bestandsaufnahme. Was das Plugin tut, wo Rechteprüfungen fehlen, welche APIs entfernt wurden.
  2. ②Upgrade auf 4.1 LTS mit automatisierten Tests für jede unterstützte Version.
  3. ③Danach Pflege zu jedem Moodle-Release, auf Wunsch per Wartungsvertrag.
Wartung & Weiterentwicklung →

AusgangslageEin Hinweis von außen oder ein ungutes Gefühl: Im Plugin könnte eine Lücke stecken.

Abb. 1.2: Weg der Lücke, vorher und nachher
Teilnehmende Plugin Lehrende Kommentar mit Skript Ausgabe wird gefiltert FIX vorher: Skript läuft beim Öffnen nachher: nur Text 1 2 3
  1. ①Verständlicher Befund. Wer die Lücke auslösen kann und was dann passiert.
  2. ②Fix an der richtigen Stelle, als Merge Request gegen Ihr Repository.
  3. ③Mit Test, damit die Lücke beim nächsten Umbau nicht zurückkommt.
Sicherheitsaudits →

AusgangslageDie Lücke ist bekannt und gefixt. Offen ist: Wurde sie ausgenutzt, und wer ist betroffen?

Abb. 1.3: Wer ist betroffen?
LückeSTORED XSS, GEFIXT 2 Einträge1 URHEBER 9 Betroffene DAVON 2 LEHRENDE Admin-Sitzungen: 0 EinschätzungFÜR LEITUNGUND DATENSCHUTZ 1 2 3
  1. ①Spuren suchen statt raten. Direkt in Datenbank und Logs.
  2. ②Betroffene eingrenzen. Wer hat die präparierten Inhalte gesehen, und wann?
  3. ③Klare Einschätzung. Für Leitung und Datenschutz: was passiert ist und was nicht.
Sicherheitsaudits →

AusgangslageMoodle soll auf einen eigenen Server, mit Updates, Backups und ohne offene Türen.

Abb. 1.4: Aufbau des Servers
Browser IHR SERVER HTTPS nginxNUR PUBLIC/ MoodlePHP-FPM DatenbankNICHT ÖFFENTLICH moodledataAUSSERHALB WEBROOT Updates · Monitoring · Logs BackupEXTERN · RESTORE GETESTET 1 2 3
  1. ①Nur erreichbar, was erreichbar sein muss. HTTPS, Sicherheits-Header, keine Konfig- oder Backup-Dateien im Web.
  2. ②Daten getrennt vom Code. Uploads außerhalb des Webroots, Datenbank nicht öffentlich.
  3. ③Backups außer Haus, die Wiederherstellung wird regelmäßig getestet.
Wartung & Betrieb →

AusgangslageEin Assistent soll Fragen zu internen Dokumenten beantworten. Nicht jede Person darf jedes Dokument sehen.

Abb. 1.5: Weg einer Frage
IHRE DOKUMENTE FragePERSON A Suche4 TREFFER Rechte3 VON 4 KEINE BERECHTIGUNG ModellLOKAL ODER EU AntwortMIT QUELLEN Protokoll: Person, Frage, verwendete Quellen 1 2 3
  1. ①Rechte vor der Antwort. Der Assistent sieht nur, was die Person selbst sehen darf.
  2. ②Modell nach Ihren Vorgaben. Lokal betrieben oder bei einem Anbieter in der EU.
  3. ③Nachvollziehbar. Welche Quellen in welche Antwort geflossen sind.
KI-Lösungen →

2 / Belege

Woran sehe ich, dass Sie das können?

45+

Sicherheitslücken gefunden und koordiniert an die Hersteller gemeldet. 24 davon sind veröffentlicht, die übrigen erscheinen nach dem jeweiligen Fix.

KennungDatumSystemBefundSchwere
MSA-26-004222.09.2026MoodleBlind SQL injection risk in profile availability condition checkSerious
CVE-2025-4951717.06.2025MoodleMissing authorisation checks in BigBlueButton view pageSerious
CVE-2025-364122.04.2025MoodleAuthenticated remote code execution risk in the Moodle LMS Dropbox repositorySerious
CVE-2024-3827619.06.2024MoodleCSRF risks due to misuse of confirm_sesskeySerious
CVE-2023-666321.12.2023MoodleAuthenticated remote code execution risk in course blocksSerious
CVE-2023-2833020.03.2023MoodleAuthenticated arbitrary file read through malformed backup fileSerious
Auswahl, 6 von 24 veröffentlichtenAlle ansehen →

3 / Team

Mit wem habe ich es zu tun?

Sie sprechen direkt mit den Menschen hinter madasolis, ohne Zwischenstufen.

Mehr über uns →
Foto

Vincent Schneider

Geschäftsführer, Entwicklung & Sicherheit

Seit über 8 Jahren in Entwicklung und IT-Sicherheit. Verbindet beides in jedem Projekt und hat über 45 Sicherheitslücken in großen Open-Source-Systemen gemeldet.

Veröffentlichte Lücken →
Foto

Christian Niemczik

Gesellschafter

4 / Kontakt

Wie geht es weiter?

Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.

Anfrage starten → kontakt@madasolis.de