In zwei SOAP-Funktionen für den Abruf von Informationen zu Rollen war ein unerlaubter Zugriff notwendig, sofern SOAP in den Einstellungen einer Instanz aktiviert ist. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der externen Bibliothek jQuery UI gab es eine bekannte Schwachstelle. Diese wurde durch ein Update auf eine aktuelle Version behoben.

Über die Manipulation von URLs war ein unerlaubter Zugriff auf bestimmte Pluginfunktionen ohne ausreichende Rechteprüfung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Wiki war ein unerlaubter Zugriff auf bestimmte LTI-Einstellungen ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Ein Link im Clipboard konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

Durch die Manipulation einer URL war es möglich, ohne Berechtigung auf bestimmte Test-Einstellungen zuzugreifen. Die Berechtigungen wurden überarbeitet und die Schwachstelle geschlossen.

Über die Manipulation einer POST-Anfrage im Test konnte potentiell Schadcode im System ausgeführt werden. Die Schwachstelle wurde geschlossen.

Ein Link in der Datensammlung konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

Anfragen, die Änderungen an einer Bewertung vorgenommen haben, wurden nicht ausreichend geschützt. Die Schwachstelle wurde behoben, so dass derartige Anfragen nicht manipuliert werden können.

Durch Manipulation und Import von Zertifikats-Dateien war es Angreifern potentiell möglich, Schadcode im System auszuführen. Die entsprechenden Schwachstellen im Code wurden behoben.

Durch Manipulation von Import-Dateien war es Angreifern potentiell möglich, Schadcode im System auszuführen. Die entsprechende Schwachstelle im Code wurde behoben.

Ein Link im WOPI-Editor konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

Im Fragenpool des Tests wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

Wie in mehreren größeren Medien berichtet gab es einen größeren Angriff auf das npm-System rund um node.js. Wir haben cate auf betroffene Pakete geprüft und können ausschließen, dass diese Pakete bei uns im Einsatz sind. Unser Update-Prozess ist bereits darauf ausgelegt, dass auch zukünftig manipulierte npm-Pakete nicht den Weg ins System finden.

Beim Auftreten eines Ausnahmefehlers (Exception) beim Anlegen eines Benutzers konnte es potentiell dazu kommen, dass vertrauliche Daten in das interne Logfile der Instanz geschrieben wurden. Die Schwachstelle wurde behoben, so dass vertrauliche Daten im Logfile wieder korrekt durch entsprechende Platzhalter ersetzt werden.

Bei der Prüfung eines Sicherheitstokens konnte es in manchen Fällen vorkommen, dass die Gültigkeit des Tokens nicht vollumfänglich geprüft wird. Die Schwachstelle wurde behoben und alle CSRF-Tokens werden wieder korrekt auf Gültigkeit geprüft.

Im MediaPool war es unter bestimmten Umständen möglich, eine Endlosschleife von Aufrufen zu erzeugen, um dies für einen DoS-Angriff zu nutzen. Die Weiterleitungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Sitzungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Weblinks war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der anonyme Zugriff aktiviert und der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Glossaren war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Übungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Mediacast war es unter bestimmten Umständen möglich, ohne Berechtigung Hintergrundtasks zu erstellen, um dies für einen DoS-Angriff zu nutzen. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Mediacast war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Lernmodul HTML war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung von Kacheln wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In den Objektübersetzungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Durch das Einfügen von Schadcode in einer URL der Literaturliste waren potentiell Änderungen an der Datenbank möglich. Durch eine systemweite Verbesserung in der Verarbeitung der betroffenen Parameter wurde diese Schwachstelle geschlossen.

Im Test war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung von mehreren Fragetypen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Darstellung von Lückentextfragen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Lernsequenz war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Schnittstelle des LTI-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, über die Schadcode ins System eingeschleust werden kann. Da diese Schnittstelle innerhalb von cate nicht genutzt wird, haben wir entschieden, sie für alle aktiven Versionen zu deaktivieren.

In der Darstellung der Lernplanung von Trainings wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Datensammlung-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Umfrage-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Konfiguration der PDF-Generation wurde eine Command-Injection-Schwachstelle (CI) entdeckt.

In der Darstellung der Stichworte (Tags) wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Survey Question Pool wurde eine Remote-Code-Execution-Schwachstelle (RCE) entdeckt.

In der Importfunktion des Test Question Pool wurde eine Remote-Code-Execution-Schwachstelle (RCE) entdeckt.

In der Darstellung der gelöschten Objekte wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Darstellung der Icon-Labels wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Darstellung der Navigation wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In bestimmten Fällen konnte unberechtigt auf Dateien zugegriffen werden, die von Background-Tasks erstellt wurden.

In der Importfunktion des Test-Moduls wurde eine Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

In der Importfunktion mehrerer Module wurden Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

In der Importfunktion des OrgUnits-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Roles-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des User-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

Durch den Upload manipulierter Dateien konnte in bestimmten Situationen Schadcode ausgeführt werden.

In der Importfunktion mehrerer Module wurden Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

Über das Hochladen einer manipulierten Datei war die Ausnutzung einer Cross-Site-Scripting-Schwachstelle möglich.

Es konnten Cross-Site Scripting (XSS) Schwachstellen in mehreren Modulen ausfindig gemacht werden.

Beim Hochladen von manipulierten Dateien kann der SCORM-Import genutzt werden, um Dateien mit Schadcode auf dem Server einzuschleusen.

Das Test-Tool von SCORM 2004 kann missbraucht werden, um unberechtigten Zugriff auf Dateien zu erhalten.

Das Test-Tool von SCORM 2004 kann missbraucht werden, um willkürlich Dateien zu löschen, auf die der Webserver Schreibrechte hat.

Ein Angreifer kann möglicherweise den WebAccessChecker (WAC) nutzen, um unberechtigten Zugriff auf Dateien unterhalb des /data-Verzeichnisses zu bekommen.

Ein Angreifer kann möglicherweise den WebAccessChecker (WAC) nutzen, um unberechtigten Zugriff auf Dateien unterhalb des /data-Verzeichnisses zu bekommen.

Über eine Funktion in der SOAP-Schnittstelle kann ein Angreifer potentiell Manipulationen der Datenbank vornehmen.
Die SOAP-Schnittstelle wird in cate NICHT benutzt, aber es wurde aufgrund des Schweregrads der Sicherheitslücke entschieden, den Fix trotzdem zeitnah zu übernehmen.