CVE-2025-67856: Falha de autorização na concessão de insígnias do Moodle (CWE-863)
A CVE-2025-67856 é uma falha de autorização incorreta no processo de concessão de insígnias do Moodle, na qual verificações de função incompletas permitem conceder insígnias sem verificação adequada. O NVD a classifica como Crítica, com pontuação CVSS 3.1 de 9.8. Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Moodle apresenta uma falha de autorização (CWE-863, Autorização Incorreta) no processo de concessão de insígnias. As verificações de função são incompletas, o que permite conceder insígnias sem a verificação adequada.
Impacto
O registro indica que usuários não autorizados poderiam obter insígnias às quais não têm direito, o que pode levar a escalonamento de privilégios ou acesso não autorizado a determinados recursos. O NVD pontua a vulnerabilidade em 9.8 (Crítica) pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. A pontuação do CNA no registro é 5.4.
Produtos e versões afetadas
- Produto: Moodle Moodle
- Intervalos listados no registro: anteriores a 4.1.22; de 4.4.0 até antes de 4.4.12; de 4.5.0 até antes de 4.5.8; de 5.0.0 até antes de 5.0.4; e a versão 5.1.0.
- O registro não informa versões corrigidas, portanto as versões com correção não são confirmadas aqui.
Status de exploração
Segundo o registro, a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Não há dados de EPSS nem de SSVC.
Correção e mitigação
- Identifique instalações do Moodle dentro dos intervalos listados e planeje a atualização para uma versão publicada pelo fornecedor para a sua linha de versão.
- Enquanto a atualização não for aplicada, revise quais funções podem influenciar a concessão de insígnias e restrinja esse acesso a equipe de confiança.
- Consulte as notas de versão do fornecedor para a versão corrigida exata de cada linha, pois o registro não as informa.
Orientações de detecção
- Revise os logs de concessão de insígnias e as emissões recentes em busca de concessões sem ação clara de um professor ou administrador autorizado.
- Audite mudanças recentes de funções e permissões e procure contas inesperadas com insígnias ou acesso elevado a recursos.
Limitações das informações disponíveis
O registro não informa versões corrigidas, detalhes de patch nem o caminho exato do código vulnerável. As pontuações do NVD e do CNA divergem. A entrada 5.1.0 não possui intervalo. O status de exploração além das fontes consultadas é desconhecido.
Perguntas frequentes
O que a CVE-2025-67856 permite?
Segundo o registro, verificações de função incompletas no processo de concessão de insígnias do Moodle permitem conceder insígnias sem verificação adequada, o que pode fazer com que usuários não autorizados obtenham insígnias às quais não têm direito.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.