Pfad
Start / Sicherheit
Gemeldet
45+, davon 24 veröffentlicht
Verfahren
Coordinated Disclosure
Audits
Pentest, Code-Audit, Härtung

Über 45 Sicherheitslücken gefunden und koordiniert gemeldet.

Audit anfragen → Zur Liste ↓

Wir prüfen große Open-Source-Systeme, melden Funde über die offiziellen Security-Prozesse der Projekte und nutzen das Wissen für jede Software, die wir bauen oder prüfen.

1Veröffentlichte Lücken

Alle veröffentlichten Advisories. Weitere Meldungen erscheinen erst, wenn der jeweilige Fix verfügbar ist.

24veröffentlicht, mit CVE oder MSA
9behoben, erscheinen mit dem nächsten Moodle-Release
8bei Moodle in Prüfung
7+bei ILIAS gemeldet
KennungDatumSystemBefundSchwere
MSA-26-004222.09.2026MoodleBlind SQL injection risk in profile availability condition checkSerious
MSA-26-004109.09.2026MoodleCSRF risk in XML grade importsSerious
CVE-2026-727829.04.2026MoodleCSRF and missing capability check in admin/mnet/peers.phpMinor
CVE-2025-4951717.06.2025MoodleMissing authorisation checks in BigBlueButton view pageSerious
CVE-2025-4951617.06.2025MoodleCSRF risk in badges backpack managementMinor
CVE-2025-4951517.06.2025MoodleCourse visibility not honoured consistentlySerious
CVE-2025-364222.04.2025MoodleAuthenticated remote code execution risk in the Moodle LMS EQUELLA repositorySerious
CVE-2025-364122.04.2025MoodleAuthenticated remote code execution risk in the Moodle LMS Dropbox repositorySerious
CVE-2025-363822.04.2025MoodleCSRF risk in Brickfield tool's analysis request actionMinor
CVE-2025-363622.04.2025MoodleIDOR in RSS block allows access to additional RSS feedsMinor
CVE-2025-363522.04.2025MoodleCSRF risk in user tours manager allows tour duplicationMinor
CVE-2025-2652818.02.2025MoodleStored XSS in ddimageortext question typeMinor
CVE-2024-5564517.12.2024MoodleEmail change confirmation token available via preferenceMinor
CVE-2024-3827619.06.2024MoodleCSRF risks due to misuse of confirm_sesskeySerious
CVE-2024-3400513.05.2024MoodleAuthenticated LFI risk in some misconfigured shared hosting environments via modified mod_data backupSerious
CVE-2024-3400413.05.2024MoodleAuthenticated LFI risk in some misconfigured shared hosting environments via modified mod_wiki backupSerious
CVE-2024-3400313.05.2024MoodleAuthenticated LFI risk in some misconfigured shared hosting environments via modified mod_workshop backupSerious
CVE-2024-3400213.05.2024MoodleAuthenticated LFI risk in some misconfigured shared hosting environments via modified mod_feedback backupSerious
CVE-2023-666321.12.2023MoodleAuthenticated remote code execution risk in course blocksSerious
CVE-2023-666121.12.2023MoodleAuthenticated remote code execution risk in logstore as managerSerious
CVE-2023-554017.10.2023MoodleAuthenticated remote code execution risk in IMSCPSerious
CVE-2023-553917.10.2023MoodleAuthenticated remote code execution risk in LessonSerious
CVE-2023-2833020.03.2023MoodleAuthenticated arbitrary file read through malformed backup fileSerious
CVE-2023-2832920.03.2023MoodleAuthenticated SQL injection via availability checkSerious
24 veröffentlicht, Stand 16.10.2026Quelle: moodle.org/security →

2Ablauf einer Meldung

Wir veröffentlichen nichts, bevor die Betreiber eines Systems einen Fix haben.

  1. 2.1

    Fund

    Analyse im eigenen Testsystem, nie auf fremden Produktivinstanzen.

  2. 2.2

    Meldung

    Vertraulich über den Security-Tracker des Projekts, mit Reproduktion und Vorschlag für den Fix.

  3. 2.3

    Fix

    Das Projekt behebt die Lücke und liefert Updates aus. Wir prüfen den Patch auf Wunsch gegen.

  4. 2.4

    Veröffentlichung

    Erst danach erscheinen CVE und Details, über das Projekt und hier in der Liste.

3Was das für Ihr Projekt heißt

Die Fehlerklassen aus unseren Funden prüfen wir in jedem Projekt, das wir bauen oder auditieren.

~/ihr-projekt
$ review src/
[*] Rechteprüfung je Endpunkt
[*] Eingaben und Ausgaben
[*] Datei- und Datenbankzugriffe
[*] Sessions, CSRF, Weiterleitungen
[+] Befunde mit Schwere und Fix-Vorschlag
[✓] Nachprüfung nach dem Fix

Für fremden Code bieten wir das als eigenständiges Sicherheitsaudit an: Pentest, Code-Audit oder beides.

4 / Kontakt

Soll jemand Ihre Anwendung prüfen?

Beschreiben Sie Ihr Vorhaben in drei kurzen Schritten. Wir melden uns in der Regel innerhalb eines Werktags.

Anfrage starten → kontakt@madasolis.de