CVE-2025-49515: Details versteckter Kurse in Moodle einsehbar
Beim Aufklappen eines Kurses in der Übersicht der Kursbereiche lieferte Moodle dessen Details, ohne auf die Sichtbarkeit zu achten. So erfuhren auch Studierende, welche versteckten Kurse es gibt und wer sie betreut.
1Zusammenfassung
- Advisory
- MSA-25-0033
- System
- Moodle
- Komponente
- Kursübersicht in Kursbereichen (core_course)
- Fehlerklasse
- Fehlende Autorisierung
- Schwere
- Serious
Versteckte Kurse sehen in Moodle nur Konten mit dem Recht moodle/course:viewhiddencourses, in der Regel Lehrende und Verwaltung. Hochschulen und Unternehmen nutzen das, um Kurse vorzubereiten, bevor sie freigeschaltet werden.
Die Übersicht der Kursbereiche lädt beim Aufklappen eines Eintrags weitere Angaben nach. Dieser Nachladeaufruf holte den Kurs direkt aus der Datenbank und gab ihn aus, ohne die Sichtbarkeit oder das zugehörige Recht abzufragen.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0033.
2Wer ist betroffen
Nutzende ohne das Recht, versteckte Kurse zu sehen.
Betroffen war jedes Konto, das die Kursübersicht öffnen kann, aber keine versteckten Kurse sehen darf, typischerweise Studierende. Ein besonderes Recht brauchte es nicht; es reichte, die Kennung eines versteckten Kurses anzufragen.
3Auswirkung
Herausgegeben wurden der Name und die Beschreibung eines versteckten Kurses sowie die eingetragenen Lehrenden. Kursinhalte und Teilnehmendenlisten blieben geschützt.
Unangenehm wird das, wenn schon der Kursname verrät, was noch nicht angekündigt ist, zum Beispiel ein geplanter Studiengang.
4Behebung
- Betroffene Versionen
- 5.0.0, 4.5.0 bis 4.5.4, 4.4.0 bis 4.4.8, 4.1.18 und älter
- Behoben in
- 5.0.1, 4.5.5, 4.4.9, 4.1.19
- Veröffentlicht
- 17.06.2025
- Fix im Quellcode
- d6f3034
Moodle prüft jetzt vor der Ausgabe, ob der Kurs versteckt ist, und verlangt in diesem Fall moodle/course:viewhiddencourses. Ohne dieses Recht antwortet die Seite so, als gäbe es den Kurs nicht.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.