CVE-2026-7278: CSRF und fehlende Rechteprüfung in der MNet-Verwaltung von Moodle

MNet verbindet mehrere Moodle-Installationen miteinander, zum Beispiel für eine gemeinsame Anmeldung. Auf der Seite mit den verbundenen Hosts legt die Administration fest, ob jeder Host im Verbund Verbindungen aufbauen darf oder nur einzeln eingetragene.

Den Schalter dafür wertete die Seite gleich zu Beginn aus, noch bevor admin_externalpage_setup() die Rechte prüfte. Einen sesskey verlangte sie dabei auch nicht.

Gemeldet von Vincent Schneider über den Security-Prozess von Moodle, veröffentlicht als MSA-26-0011.

Laut Advisory waren Token- und Rechteprüfung unzureichend. Damit konnten Konten ohne Administrationsrechte die Einstellung umstellen, und eine fremde Website konnte dasselbe über den Browser einer angemeldeten Administratorin erreichen.

Eine Wirkung hat der Schalter nur auf Websites, die MNet tatsächlich einsetzen.

Umgestellt werden konnte allein, ob Moodle Verbindungen von allen Hosts im Verbund annimmt. Auf einer Website mit aktivem MNet hängt davon ab, welche fremden Installationen sich verbinden dürfen.

Die Seite verarbeitet die Änderung jetzt erst nach admin_externalpage_setup() und nur mit gültigem Token, das confirm_sesskey() prüft. Der Link auf der Seite liefert das Token mit.