CVE-2025-26529

Faille XSS dans Moodle : Journal d’administration compromis

Une vulnérabilité de type Cross-Site Scripting (XSS) stockée a été identifiée dans la fonctionnalité de journalisation en direct de l’administration de Moodle. Cette faille, référencée CVE-2025-26529, permet à des attaquants d’injecter des scripts malveillants dans les descriptions affichées dans le journal.

Lorsque les utilisateurs consultent cette section compromise, les scripts s’exécutent dans le contexte de leur navigateur, potentiellement pour voler des informations ou mener d’autres attaques.

Points clés :

• Type de vulnérabilité : Cross-Site Scripting (XSS) stockée.
• Localisation : Fonctionnalité de journalisation en direct (live log) dans l’administration du site Moodle.
• Cause : Absence de nettoyage adéquat des descriptions des événements dans le journal.
• Impact : Exécution de scripts malveillants dans le navigateur des utilisateurs consultant le journal.

Vulnérabilités :

• CVE-2025-26529

Versions affectées :

• Moodle 4.5 à 4.5.1
• Moodle 4.4 à 4.4.5
• Moodle 4.3 à 4.3.9
• Moodle 4.1 à 4.1.15
• Versions antérieures non supportées

Recommandations :

• Mettre à jour Moodle vers les versions corrigées :
  • Moodle 4.5.2
  • Moodle 4.4.6
  • Moodle 4.3.10
  • Moodle 4.1.16
• Le correctif consiste à implémenter un nettoyage approprié des descriptions d’événements dans la fonctionnalité de journalisation en direct.

Source