CVE-2025-3635: CSRF beim Duplizieren von User Tours in Moodle
Wer in Moodle User Tours verwaltet, konnte beim Besuch einer fremden Webseite unbemerkt eine Tour duplizieren lassen. Der zuständige Link prüfte nicht, ob der Klick aus Moodle selbst kam.
1Zusammenfassung
- Advisory
- MSA-25-0018
- System
- Moodle
- Komponente
- User Tours (tool_usertours)
- Fehlerklasse
- Cross-Site Request Forgery (CSRF)
- Schwere
- Minor
User Tours sind die geführten Rundgänge, mit denen Moodle neue Nutzende durch die Oberfläche leitet. In ihrer Verwaltung steht neben jeder Tour ein Link, der eine Kopie anlegt.
Dieser Link enthielt kein sesskey-Token, und die Zielseite verlangte auch keines. Ein Aufruf aus einer anderen Website heraus sah für Moodle deshalb genauso aus wie ein Klick in der eigenen Oberfläche.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0018.
2Wer ist betroffen
Angemeldete Personen mit Zugriff auf die Verwaltung der User Tours.
Ausgelöst wird die Kopie im Browser einer Person, die gerade in Moodle angemeldet ist und Tours verwalten darf. Dafür genügt es, dass sie eine vorbereitete Seite öffnet, etwa über einen Link in einer E-Mail; wer diese Seite betreibt, braucht selbst kein Konto.
3Auswirkung
Am Ende steht in der Tour-Liste eine zusätzliche Kopie einer vorhandenen Tour, die jemand von Hand wieder entfernen muss.
4Behebung
- Betroffene Versionen
- 4.5.0 bis 4.5.3, 4.4.0 bis 4.4.7, 4.3.0 bis 4.3.11, 4.1.17 und älter
- Behoben in
- 4.5.4, 4.4.8, 4.3.12, 4.1.18
- Veröffentlicht
- 22.04.2025
- Fix im Quellcode
- dbd723f
Der Link zum Duplizieren trägt jetzt das Token. Bevor die Tour kopiert wird, prüft require_sesskey(), ob es zur laufenden Sitzung passt.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.