CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-10154
https://notcve.org/view.php?id=CVE-2019-10154
A flaw was found in Moodle before versions 3.7, 3.6.4. A web service fetching messages was not restricted to the current user's conversations. Se detecto un error en Moodle antes de las versiones 3.7, 3.6.4. Un servicio web que recuperaba mensajes no se limitaba a las conversaciones del usuario actual. • https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10154 https://moodle.org/mod/forum/discuss.php?d=386521 • CWE-285: Improper Authorization •
CVSS: 5.4EPSS: 0%CPEs: 4EXPL: 0CVE-2019-3847
https://notcve.org/view.php?id=CVE-2019-3847
A vulnerability was found in moodle before versions 3.6.3, 3.5.5, 3.4.8 and 3.1.17. Users with the "login as other users" capability (such as administrators/managers) can access other users' Dashboards, but the JavaScript those other users may have added to their Dashboard was not being escaped when being viewed by the user logging in on their behalf. Se ha detectado una vulnerabilidad en moodle, en versiones anteriores a la 3.6.3, 3.5.5, 3.4.8 y 3.1.17. Los usuarios con la característica "login as other users" (como los administradores o gerentes/managers) pueden acceder a los dashboards de otros usuarios, pero el JavaScript que esos otros usuarios hayan podido añadir a sus dashboards no se escapaba cuando era visualizado por el usuario que iniciaba sesión en su nombre. • http://www.securityfocus.com/bid/107489 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3847 https://moodle.org/mod/forum/discuss.php?d=384010#p1547742 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2019-3852
https://notcve.org/view.php?id=CVE-2019-3852
A vulnerability was found in moodle before version 3.6.3. The get_with_capability_join and get_users_by_capability functions were not taking context freezing into account when checking user capabilities Se ha descubierto una vulnerabilidad en moodle, en versiones anteriores a la 3.6.3. Las funciones get_with_capability_join y get_users_by_capability no tenían en cuenta el bloqueo de contexto al comprobar las capacidades del usuario. • https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3852 https://moodle.org/mod/forum/discuss.php?d=384015#p1547748 •
CVSS: 6.1EPSS: 0%CPEs: 4EXPL: 0CVE-2019-3850
https://notcve.org/view.php?id=CVE-2019-3850
A vulnerability was found in moodle before versions 3.6.3, 3.5.5, 3.4.8 and 3.1.17. Links within assignment submission comments would open directly (in the same window). Although links themselves may be valid, opening within the same window and without the no-referrer header policy made them more susceptible to exploits. Se ha detectado una vulnerabilidad en moodle, en versiones anteriores a la 3.6.3, 3.5.5, 3.4.8 y 3.1.17. Los enlaces con comentarios de envío de tareas se abrirían directamente (en la misma ventana). • https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3850 https://moodle.org/mod/forum/discuss.php?d=384013#p1547745 • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 8.8EPSS: 0%CPEs: 3EXPL: 0CVE-2019-3849
https://notcve.org/view.php?id=CVE-2019-3849
A vulnerability was found in moodle before versions 3.6.3, 3.5.5 and 3.4.8. Users could assign themselves an escalated role within courses or content accessed via LTI, by modifying the request to the LTI publisher site. Se ha detectado una vulnerabilidad en moodle, en versiones anteriores a la 3.6.3, 3.5.5 y 3.4.8. Los usuarios podrían autoasignarse un rol escalado en los cursos o el contenido al que se accede mediante LTI modificando la petición al sitio LTI del editor. • https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3849 https://moodle.org/mod/forum/discuss.php?d=384012#p1547744 • CWE-269: Improper Privilege Management CWE-285: Improper Authorization •