CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18210
https://notcve.org/view.php?id=CVE-2019-18210
Persistent XSS in /course/modedit.php of Moodle through 3.7.2 allows authenticated users (Teacher and above) to inject JavaScript into the session of another user (e.g., enrolled student or site administrator) via the introeditor[text] parameter. NOTE: the discoverer and vendor disagree on whether Moodle customers have a reasonable expectation that anyone authenticated as a Teacher can be trusted with the ability to add arbitrary JavaScript (this ability is not documented on Moodle's Teacher_role page). Because the vendor has this expectation, they have stated "this report has been closed as a false positive, and not a bug." ** EN DISPUTA ** Un vulnerabilidad de tipo XSS persistente en el archivo /course/modedit.php de Moodle versiones hasta 3.7.2, permite a usuarios autenticados (Teacher y superior) inyectar JavaScript en la sesión de otro usuario (por ejemplo, enrolled student o site administrator) por medio del parámetro introeditor[text]. NOTA: el descubridor y el suplidor no están de acuerdo sobre si los clientes de Moodle tienen una expectativa razonable de que cualquier persona autenticada como Teacher pueda ser confiable en la capacidad de agregar JavaScript arbitrario (esta capacidad no está documentada en la página Teacher_role de Moodle). Debido a que el suplidor tiene esta expectativa, ha declarado que "este informe se ha cerrado como un falso positivo y no como un error". • https://docs.moodle.org/38/en/Teacher_role https://gist.github.com/Danbardo/4a6b0fe8cb21ec6d7c54e6ac951bdb0a • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 3EXPL: 0CVE-2019-10186
https://notcve.org/view.php?id=CVE-2019-10186
A flaw was found in moodle before versions 3.7.1, 3.6.5, 3.5.7. A sesskey (CSRF) token was not being utilised by the XML loading/unloading admin tool. Se encontró una fallo en moodle anterior de las versiones 3.7.1, 3.6.5, 3.5.7. La herramienta de administración de carga / descarga XML no estaba utilizando un token sesskey (CSRF). • http://www.securityfocus.com/bid/109175 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10186 https://moodle.org/mod/forum/discuss.php?d=388567#p1566329 • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2019-10187
https://notcve.org/view.php?id=CVE-2019-10187
A flaw was found in moodle before versions 3.7.1, 3.6.5, 3.5.7. Users with permission to delete entries from a glossary were able to delete entries from other glossaries they did not have direct access to. Se encontró una fallo en moodle anterior de las versiones 3.7.1, 3.6.5, 3.5.7. Los usuarios con permiso para eliminar entradas de un glosario pudieron eliminar entradas de otros glosarios a los que no tenían acceso directo. • http://www.securityfocus.com/bid/109174 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10187 https://moodle.org/mod/forum/discuss.php?d=388568#p1566330 • CWE-284: Improper Access Control CWE-862: Missing Authorization •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2019-10188
https://notcve.org/view.php?id=CVE-2019-10188
A flaw was found in moodle before versions 3.7.1, 3.6.5, 3.5.7. Teachers in a quiz group could modify group overrides for other groups in the same quiz. Un defecto fue descubierto en moodle anterior a las versiones 3.7.1 ,3.6.5.7. los profesores en un grupo de preguntas podría modificar las anulaciones de grupo para otros grupos en la misma prueba • http://www.securityfocus.com/bid/109178 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10188 https://moodle.org/mod/forum/discuss.php?d=388569 • CWE-284: Improper Access Control •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2019-10189
https://notcve.org/view.php?id=CVE-2019-10189
A flaw was found in moodle before versions 3.7.1, 3.6.5, 3.5.7. Teachers in an assignment group could modify group overrides for other groups in the same assignment. Un defecto fue descubierto en moodle anterior a versiones 3.7.1, 3.6.5, los profesores en un grupo de tarea podrían modificar las anulaciones de grupo para otros grupos en la misma asignación • http://www.securityfocus.com/bid/109271 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10189 https://moodle.org/mod/forum/discuss.php?d=388570 • CWE-284: Improper Access Control •