Skip to content
Hacker Posts

Moodle corrige trois failles : contournement et XSS

Moodle publie 4.5.15, 5.0.11, 5.1.8 et 5.2.4 pour corriger CVE-2026-47759, CVE-2026-47761 et CVE-2026-47762 : contournement de politique de sécurité et XSS.

Publié le 2 min de lecture
alertemoodlexsslms

Moodle a corrigé trois vulnérabilités dans sa plateforme d'apprentissage, relayées par le CERT-FR dans l'avis CERTFR-2026-AVI-1318 du 15 octobre 2026. Selon l'ANSSI, le lot couvre un contournement de la politique de sécurité et une injection de code indirecte à distance (XSS). Les sources primaires sont les annonces de sécurité publiées par le projet : bulletin 482830 et bulletin 482831.

Les failles

Les trois CVE sont CVE-2026-47759, CVE-2026-47761 et CVE-2026-47762. L'avis de l'ANSSI ne mappe pas chaque identifiant à un type précis ni à une note CVSS ; il annonce les deux catégories de risque au niveau du lot. Les bulletins Moodle ci-dessus détaillent chaque cas — à consulter avant de prioriser, en particulier pour savoir si le XSS est stocké (plus exploitable sur un LMS multi-utilisateurs) ou réfléchi.

Versions concernées

  • Moodle 5.0.x antérieures à 5.0.11
  • Moodle 5.1.x antérieures à 5.1.8
  • Moodle 5.2.x antérieures à 5.2.4
  • Moodle antérieures à 4.5.15 (branche LTS)

La montée vers la dernière version de maintenance de votre branche corrige l'ensemble du lot.

Exploitation

Ni Moodle ni le CERT-FR ne mentionnent d'exploitation active ni de code public à ce stade. Le risque spécifique d'un LMS tient à sa population : des milliers de comptes étudiants et enseignants, souvent faiblement authentifiés, sur une instance exposée à Internet. Un XSS stocké y vaut bien plus qu'un contournement théorique, car il se propage par les contenus que les utilisateurs se partagent.

Que faire

  1. Identifiez votre branche et version (Administration du site → Notifications, ou le fichier version.php) et planifiez la montée vers 4.5.15 / 5.0.11 / 5.1.8 / 5.2.4 selon le cas.
  2. Priorisez les instances exposées à Internet et celles ouvertes à l'auto-inscription, où la surface d'attaque XSS est la plus large.
  3. Consultez les bulletins 482830 et 482831 pour le détail par CVE avant d'évaluer l'urgence sur votre déploiement.
  4. Surveillez les extensions tierces : le cœur corrigé ne couvre pas les plugins, qui restent une source fréquente de XSS sur Moodle.

À mettre en perspective

Les correctifs Moodle arrivent par vagues régulières et les failles XSS y sont récurrentes, portées par la richesse fonctionnelle de la plateforme (forums, devoirs, éditeurs de contenu). Le réflexe utile n'est pas de traiter chaque avis comme une urgence isolée, mais de caler les montées de version de Moodle sur un cycle court — les instances qui prennent du retard accumulent les CVE ouvertes d'un trimestre à l'autre.

Articles liés