CVE-2025-49516: CSRF in der Backpack-Verwaltung für Badges in Moodle
In der Website-Administration lässt sich die Reihenfolge der hinterlegten Badge-Backpacks per Pfeil ändern. Diese Links prüften kein Token und ließen sich deshalb aus einer fremden Webseite heraus aufrufen.
1Zusammenfassung
- Advisory
- MSA-25-0034
- System
- Moodle
- Komponente
- Badges, Verwaltung externer Backpacks (core_badges)
- Fehlerklasse
- Cross-Site Request Forgery (CSRF)
- Schwere
- Minor
Über Backpacks übertragen Nutzende ihre in Moodle erworbenen Badges an externe Dienste. Welche Dienste angeboten werden und in welcher Reihenfolge, steht in einer Liste der Website-Administration.
Die Links „nach oben“ und „nach unten“ in dieser Liste trugen kein sesskey. Rief eine andere Website sie im Browser einer berechtigten Person auf, verschob Moodle den Eintrag so, als hätte diese Person selbst geklickt.
Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-25-0034.
2Wer ist betroffen
Angemeldete Personen, die die Backpacks der Website verwalten dürfen.
Wirksam wird das nur im Browser von jemandem, der gerade angemeldet ist und die Backpack-Liste bearbeiten darf.
3Auswirkung
Die Folge beschränkt sich auf eine geänderte Reihenfolge der Backpacks in dieser Liste.
4Behebung
- Betroffene Versionen
- 5.0.0, 4.5.0 bis 4.5.4, 4.4.0 bis 4.4.8, 4.1.18 und älter
- Behoben in
- 5.0.1, 4.5.5, 4.4.9, 4.1.19
- Veröffentlicht
- 17.06.2025
- Fix im Quellcode
- 4efea4e
Beide Links enthalten jetzt das Token. Einen Eintrag verschiebt die Seite nur noch, nachdem confirm_sesskey() das Token bestätigt hat.
Diese Fehlerklasse prüfen wir in jedem Projekt, das wir bauen oder auditieren. Für fremden Code als Sicherheitsaudit.
5 / Kontakt
Sollen wir Ihre Moodle-Plugins prüfen?
Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.