CVE:CVE-2004-1425
CNNVD:CNNVD-200412-613
Moodle2是一套免费、开源的电子学习软件平台，也称课程管理系统、学习管理系统或虚拟学习环境。
Moodle存在多个安全漏洞。该漏洞源于Moodle对用户提交的请求缺少充分过滤，远程攻击者可以利用这个漏洞获得敏感信息或查看文件内容。问题一是跨站脚本问题：'/mod/forum/view.php'对用户提交给'$search'变量数据缺少充分过滤，提交包含恶意HTML代码作为变量数据，可导致敏感信息泄露。问题二是会话文件泄露问题：所有包含会话数据的文件保存在`moodledata`目录中，本来必须隐藏的，但由于如下代码：45> $pathname = "$CFG->dataroot$pathinfo";$pathinfo由detect_munged_arguments()函数检查，攻击者可'..'字符来绕过目录限制，查看读取会话数据。
solution:Upgrade moodle moodle to a higher version than 1.1.1,1.2.0,1.2.1,1.3.0,1.3.1,1.3.2,1.3.3,1.3.4,1.4.1,1.4.2,and avoid the version 1.1.1,1.2.0,1.2.1,1.3.0,1.3.1,1.3.2,1.3.3,1.3.4,1.4.1,1.4.2