Veille sécuritéFrontend
P4Moyenne
Virtual Programming Lab pour Moodle présente une XSS réfléchie dans `similarity/diff.php`, liée aux paramètres `filename1` et `filename2` qui ne sont pas encodés. Un lien spécialement construit peut exécuter un script dans le navigateur d’un utilisateur autorisé à consulter la comparaison.
JavaScript
IdentifiantCVE-2026-113683
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.0.0
Source : NVD — CVE-2026-113683
Analyse technique
L’exploitation rapportée requiert qu’un utilisateur disposant de la capacité `mod/vpl:similarity` ouvre le lien piégé. Le script s’exécute dans le contexte de session de cet utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20 à 16:17:13 UTC, soit dans la période demandée (+02:00).
ImpactUn script peut s’exécuter dans le navigateur d’un utilisateur autorisé à consulter la comparaison, avec les droits de sa session.
Versions affectéesVPL pour Moodle antérieur à 5.0.0
Version corrigée5.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-20T18:17:13.360+02:00
Mise à jour2026-10-20T22:11:29.833+02:00
Action recommandée
Mettre à niveau VPL pour Moodle vers la version 5.0.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).