CVE-2025-26528: Stored XSS im Fragetyp Drag-and-Drop auf Bild in Moodle

Bei Fragen vom Typ Drag-and-Drop auf Bild ziehen Teilnehmende Texte oder Bilder auf Zonen in einem Hintergrundbild. Jede Zone hat eine Beschriftung, die auf der Seite nicht zu sehen ist und nur von Screenreadern vorgelesen wird.

Das Bearbeitungsformular nahm diese Beschriftung als Rohdaten an (PARAM_RAW). Der Renderer gab sie anschließend ohne format_string() an die Seite und an das JavaScript der Frage weiter, sodass HTML und Skripte in der Beschriftung erhalten blieben.

Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0004.

Speichern kann eine solche Beschriftung nur, wer Fragen dieses Typs anlegen oder bearbeiten darf. Ausgeführt wird das Skript bei allen, die die Frage zu sehen bekommen, im Test ebenso wie in Vorschau oder Auswertung.

Im Browser der betrachtenden Person läuft das Skript in deren Moodle-Sitzung und kann dort in ihrem Namen handeln. Öffnet ein Konto mit weitreichenden Rechten die Frage, etwa in der Vorschau, stehen diese Rechte dem Skript zur Verfügung.

Seit dem Fix nimmt das Formular nur noch reinen Text an (PARAM_TEXT), und der Renderer schickt die Beschriftung vor der Ausgabe durch format_string(). Weil der Schutz bei der Ausgabe greift, gilt er auch für Fragen, die vor dem Update gespeichert wurden.