Beim Auftreten eines Ausnahmefehlers (Exception) beim Anlegen eines Benutzers konnte es potentiell dazu kommen, dass vertrauliche Daten in das interne Logfile der Instanz geschrieben wurden. Die Schwachstelle wurde behoben, so dass vertrauliche Daten im Logfile wieder korrekt durch entsprechende Platzhalter ersetzt werden.

Bei der Prüfung eines Sicherheitstokens konnte es in manchen Fällen vorkommen, dass die Gültigkeit des Tokens nicht vollumfänglich geprüft wird. Die Schwachstelle wurde behoben und alle CSRF-Tokens werden wieder korrekt auf Gültigkeit geprüft.

Im MediaPool war es unter bestimmten Umständen möglich, eine Endlosschleife von Aufrufen zu erzeugen, um dies für einen DoS-Angriff zu nutzen. Die Weiterleitungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Sitzungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Weblinks war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der anonyme Zugriff aktiviert und der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Glossaren war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Übungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Mediacast war es unter bestimmten Umständen möglich, ohne Berechtigung Hintergrundtasks zu erstellen, um dies für einen DoS-Angriff zu nutzen. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Mediacast war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Lernmodul HTML war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung von Kacheln wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In den Objektübersetzungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Durch das Einfügen von Schadcode in einer URL der Literaturliste waren potentiell Änderungen an der Datenbank möglich. Durch eine systemweite Verbesserung in der Verarbeitung der betroffenen Parameter wurde diese Schwachstelle geschlossen.

Im Test war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung von mehreren Fragetypen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Darstellung von Lückentextfragen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Lernsequenz war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Schnittstelle des LTI-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, über die Schadcode ins System eingeschleust werden kann. Da diese Schnittstelle innerhalb von cate nicht genutzt wird, haben wir entschieden, sie für alle aktiven Versionen zu deaktivieren.

In der Darstellung der Lernplanung von Trainings wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Datensammlung-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Umfrage-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Konfiguration der PDF-Generation wurde eine Command-Injection-Schwachstelle (CI) entdeckt.

In der Darstellung der Stichworte (Tags) wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Survey Question Pool wurde eine Remote-Code-Execution-Schwachstelle (RCE) entdeckt.

In der Importfunktion des Test Question Pool wurde eine Remote-Code-Execution-Schwachstelle (RCE) entdeckt.

In der Darstellung der gelöschten Objekte wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Darstellung der Icon-Labels wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Darstellung der Navigation wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In bestimmten Fällen konnte unberechtigt auf Dateien zugegriffen werden, die von Background-Tasks erstellt wurden.

In der Importfunktion des Test-Moduls wurde eine Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

In der Importfunktion mehrerer Module wurden Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

In der Importfunktion des OrgUnits-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Roles-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des User-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

Durch den Upload manipulierter Dateien konnte in bestimmten Situationen Schadcode ausgeführt werden.

In der Importfunktion mehrerer Module wurden Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

Über das Hochladen einer manipulierten Datei war die Ausnutzung einer Cross-Site-Scripting-Schwachstelle möglich.

Es konnten Cross-Site Scripting (XSS) Schwachstellen in mehreren Modulen ausfindig gemacht werden.

Beim Hochladen von manipulierten Dateien kann der SCORM-Import genutzt werden, um Dateien mit Schadcode auf dem Server einzuschleusen.

Das Test-Tool von SCORM 2004 kann missbraucht werden, um unberechtigten Zugriff auf Dateien zu erhalten.

Das Test-Tool von SCORM 2004 kann missbraucht werden, um willkürlich Dateien zu löschen, auf die der Webserver Schreibrechte hat.

Ein Angreifer kann möglicherweise den WebAccessChecker (WAC) nutzen, um unberechtigten Zugriff auf Dateien unterhalb des /data-Verzeichnisses zu bekommen.

Ein Angreifer kann möglicherweise den WebAccessChecker (WAC) nutzen, um unberechtigten Zugriff auf Dateien unterhalb des /data-Verzeichnisses zu bekommen.

Über eine Funktion in der SOAP-Schnittstelle kann ein Angreifer potentiell Manipulationen der Datenbank vornehmen.
Die SOAP-Schnittstelle wird in cate NICHT benutzt, aber es wurde aufgrund des Schweregrads der Sicherheitslücke entschieden, den Fix trotzdem zeitnah zu übernehmen.