Обход проверок доступа в Moodle и XSS в редакторе TinyMCE

Уязвимость в проверке прав на файлы H5P открывает в системе онлайн-обучения Moodle доступ к закрытым учебным материалам. Проблема затрагивает все поддерживаемые ветки платформы, а воспользоваться ею может даже посетитель, который не вошёл в систему. Разработчики заодно обновили встроенные библиотеки редактора TinyMCE и подсветки кода PrismJS - из-за рисков межсайтового скриптинга (XSS, внедрение чужого кода в веб-страницу).

Обход проверок доступа к H5P и XSS в библиотеках Moodle

Два бюллетеня вышли 15 октября 2026 года. Они описывают разные по характеру проблемы, и это объясняет разницу в оценках. Первую Moodle отнесла к серьёзному уровню (Serious по классификации вендора), вторую - к незначительному (Minor). Ошибки сторонних библиотек, по данным разработчиков, не удавалось использовать в самой платформе.

Проверки доступа к файлам H5P

H5P - формат интерактивных учебных заданий: тестов, видео, презентаций с ветвлением. Файлы такого контента Moodle отдаёт по ссылкам, и права на просмотр должны проверяться при каждом обращении. Проверок не хватало. Пользователь, в том числе анонимный, мог открыть материалы курса, к которым его не допускали. Утечка здесь не про пароли или персональные данные: наружу уходит учебный контент, который преподаватель рассчитывал показывать ограниченному кругу.

Проблему обнаружил исследователь Jari Vilkman. Идентификатор CVE на момент публикации ему ещё не присвоили. Под удар попадают ветки 5.2, 5.1, 5.0 и 4.5 - точнее, версии 5.2-5.2.3, 5.1-5.1.7, 5.0-5.0.10 и 4.5-4.5.14, а также более ранние выпуски, которые уже не поддерживаются. Речь идёт об университетах, школах и корпоративных учебных порталах, то есть о площадках с большим объёмом закрытых курсов.

XSS в TinyMCE и PrismJS

Вторая история касается редактора TinyMCE, через который в Moodle набирают тексты, и библиотеки PrismJS для подсветки кода. Обновили обе, закрыв несколько ошибок межсайтового скриптинга. В TinyMCE их набралось три, и каждая получила отдельный номер: CVE-2026-47759, CVE-2026-47761 и CVE-2026-47762. Держатель реестра GitHub присвоил всем трём рейтинг 8,7 по шкале CVSS - это высокий уровень угрозы.

Механика у всех трёх похожая. Злоумышленник подделывает служебные атрибуты и комментарии внутри редактора, а вредоносный сценарий срабатывает, когда сохранённый текст снова открывают. Один вариант опирается на атрибуты вида data-mce-, другой - на вставку медиаобъекта, третий - на специальные защищённые комментарии. На стороне самой библиотеки TinyMCE такие приёмы вели к хранимому XSS, который остаётся в тексте и поражает следующего читателя. В Moodle, как отмечают её разработчики, эти ошибки в реальной работе платформы не проявлялись.

Исправлены обе группы проблем в версиях 5.2.4, 5.1.8, 5.0.11 и 4.5.15. Администраторам достаточно сверить свою сборку с этим списком и обновить установку. Отдельного обходного пути для проблемы с H5P вендор не предлагает, а отключение интерактивных заданий лишило бы курсы заметной части материалов. Ветку 5.2 нужно обновлять обязательно: только в ней всплыли и ошибки сторонних библиотек.

Такие истории для учебных платформ обычны. Межсайтовый скриптинг приходит вместе со сторонними библиотеками, которые подключают к редакторам и подсветке кода, а слабые проверки прав открывают контент, который считали закрытым. Обе группы проблем закрыты одним обновлением, поэтому тянуть с установкой нежелательно: открытый доступ к файлам H5P сохраняется ровно до момента, пока платформа остаётся на старой версии.

Обход проверок доступа к H5P и XSS в библиотеках Moodle

Проверки доступа к файлам H5P

XSS в TinyMCE и PrismJS

Ссылки