Bei Nutzung von zusätzlichen JS/CSS-Dateien in Plugins für den Seiteneditor wurde unter bestimmten Umständen ein interner Dateipfad im Quelltext angezeigt. Um potentiellen Angreifern keine Angriffsfläche zu bieten, wurde die Pfadangabe korrigiert und die Schwachstelle geschlossen.

Bei einer Fehlermeldung wurde der Objektname in der Meldung angezeigt. Um potentiellen Zugriff auf sensible Daten zu vermeiden, wurde der Objektname aus der Fehlermeldung entfernt und die Schwachstelle geschlossen.

In LTI war ein unerlaubter Zugriff auf eine Seite ohne entsprechende Berechtigung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Über den Upload einer manipulierten ZIP-Datei war es möglich, den zur Verfügung stehenden Speicherplatz des Servers mit Nonsense-Daten zu füllen und damit potentiell dessen Lauffähigkeit zu beeinträchtigen. Die Schwachstelle wurde behoben, um dies zukünftig zu vermeiden.

Im Logout via Shibboleth war es potentiell möglich, vorher über einen LTI-Endpunkt eingeschleusten Schadcode auf dem Server auszuführen. Die Schwachstelle wurde behoben, um dies zukünftig zu vermeiden. Hinweis: Die Sicherheitslücke in der LTI-Schnittstelle zur Einschleusung des Schadcodes ist in cate nicht vorhanden, da alle LTI-Endpunkte deaktiviert sind.

Im Papierkorb war es mit vorhandenen Schreibrechten über eine Manipulation von URL-Parametern potentiell möglich, Daten aus der Datenbank anzuzeigen oder zu manipulieren. Die Schwachstelle wurde behoben, um dies zukünftig zu vermeiden. Hinweis: Die Papierkorb-Funktion ist in cate generell deaktiviert.

Über die Manipulation einer Datei in einem Media-Objekt konnte potentiell Schadcode im System ausgeführt werden. Die Schwachstelle wurde geschlossen.

Im Kurs war ein unerlaubter Zugriff auf bestimmte Bereiche ohne entsprechende Berechtigung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In SOAP war ein unerlaubter Zugriff auf bestimmte Bereiche ohne entsprechende Berechtigung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Learning Objective war ein unerlaubter Zugriff auf bestimmte Bereiche ohne entsprechende Berechtigung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In SOAP war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Kategorien war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Beim Upload einer fehlerhaften Datei wurde unter bestimmten Umständen ein interner Dateipfad in der Fehlermeldung angezeigt. Um potentiellen Angreifern keine Angriffsfläche zu bieten, wurde die Pfadangabe aus der Fehlermeldung entfernt und die Schwachstelle geschlossen.

In Notizen war ein unerlaubter Zugriff auf bestimmte Bereiche möglich, sofern der Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung bestimmter Felder der DataCollection wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

Beim Upload von Kachelbildern gab es eine fehlende Prüfung der notwendigen Berechtigungen, die potentiell den Upload von Dateien ermöglicht hat. Die Schwachstelle wurde behoben und der Upload ist nur mit entsprechender Berechtigung möglich.

Im Lernfortschritt war es mit bestimmten Zugriffsrechten über eine Manipulation von URL-Parametern potentiell möglich, Daten aus der Datenbank anzuzeigen oder zu manipulieren. Die Schwachstelle wurde behoben, um dies zukünftig zu vermeiden.

In SOAP war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In SOAP war es mit bestimmten Zugriffsrechten über eine Manipulation von POST-Parametern potentiell möglich, Daten aus der Datenbank anzuzeigen oder zu manipulieren. Die Schwachstelle wurde behoben, um dies zukünftig zu vermeiden.

In SOAP war ein unerlaubter Schreibzugriff auf bestimmte Funktionen nur mit Leseberechtigung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Modul SCORM2004 war es (in bestimmten Webserver-Konfigurationen) über eine Manipulation von URL-Parametern potentiell möglich, Daten aus der Datenbank anzuzeigen oder zu manipulieren. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Darstellung der Teilnehmer eines Kurses wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

Im Modul MyStaff war es über eine Änderung von URL-Parametern potentiell möglich, Daten aus der Datenbank anzuzeigen oder zu manipulieren. Das Modul wird in cate nicht verwendet, trotzdem wurde der Fix im Code übernommen.

Für Nutzer mit administrativem Zugriff auf die Einstellungen von Lernsequenz/Test war es unter bestimmten Umständen möglich, eine Abfrage zu manipulieren und Zugriff auf bestimmte Dateien zu bekommen.

In der Darstellung eines Fragetyps wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In News war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Ein für SAML genutzter Link konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

In der Nutzung des TinyMCE-Editors innerhalb von Umfragen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der externen Bibliothek enshrined/svg-sanitizer gab es eine bekannte Schwachstelle. Diese wurde durch ein Update auf eine aktuelle Version behoben.

In der Nutzung des TinyMCE-Editors innerhalb von Übungen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der externen Bibliothek express (Node.js) gab es eine bekannte Schwachstelle. Diese wurde durch ein Update auf eine aktuelle Version behoben. Diese Bibliothek gehört zur Chatroom-Funktion, die in cate standardmäßig nicht verwendet wird.

In der externen Bibliothek Apache Tika gab es eine bekannte Schwachstelle. Diese wurde durch ein Update auf eine aktuelle Version behoben.

In mehreren SOAP-Funktionen war ein unerlaubter Zugriff notwendig, sofern SOAP in den Einstellungen einer Instanz aktiviert ist. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen (gilt auch für Bugtracker-ID 46024 und 46025).

In der Behandlung von hochgeladenen SVG-Dateien wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode zu speichern. Die Schwachstelle im Upload wurde behoben, um dies zukünftig zu vermeiden.

Mehrere Funktionen der BackgroundTasks konnten ohne ausreichende Rechteprüfung aufgerufen werden. Die Berechtigungen wurden überarbeitet und die Schwachstelle geschlossen (gilt auch für Bugtracker-ID 45884 und 45900).

In zwei SOAP-Funktionen für den Abruf von Informationen zu Rollen war ein unerlaubter Zugriff notwendig, sofern SOAP in den Einstellungen einer Instanz aktiviert ist. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der externen Bibliothek jQuery UI gab es eine bekannte Schwachstelle. Diese wurde durch ein Update auf eine aktuelle Version behoben.

Über die Manipulation von URLs war ein unerlaubter Zugriff auf bestimmte Pluginfunktionen ohne ausreichende Rechteprüfung möglich. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Wiki war ein unerlaubter Zugriff auf bestimmte LTI-Einstellungen ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Ein Link im Clipboard konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

Durch die Manipulation einer URL war es möglich, ohne Berechtigung auf bestimmte Test-Einstellungen zuzugreifen. Die Berechtigungen wurden überarbeitet und die Schwachstelle geschlossen.

Über die Manipulation einer POST-Anfrage im Test konnte potentiell Schadcode im System ausgeführt werden. Die Schwachstelle wurde geschlossen.

Ein Link in der Datensammlung konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

Anfragen, die Änderungen an einer Bewertung vorgenommen haben, wurden nicht ausreichend geschützt. Die Schwachstelle wurde behoben, so dass derartige Anfragen nicht manipuliert werden können.

Durch Manipulation und Import von Zertifikats-Dateien war es Angreifern potentiell möglich, Schadcode im System auszuführen. Die entsprechenden Schwachstellen im Code wurden behoben.

Durch Manipulation von Import-Dateien war es Angreifern potentiell möglich, Schadcode im System auszuführen. Die entsprechende Schwachstelle im Code wurde behoben.

Ein Link im WOPI-Editor konnte so manipuliert werden, dass er Nutzer potentiell auf schadhafte URLs lenken konnte. Die Schwachstelle wurde behoben und eine Manipulation des Links ist nicht mehr möglich.

Im Fragenpool des Tests wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

Wie in mehreren größeren Medien berichtet gab es einen größeren Angriff auf das npm-System rund um node.js. Wir haben cate auf betroffene Pakete geprüft und können ausschließen, dass diese Pakete bei uns im Einsatz sind. Unser Update-Prozess ist bereits darauf ausgelegt, dass auch zukünftig manipulierte npm-Pakete nicht den Weg ins System finden.

Beim Auftreten eines Ausnahmefehlers (Exception) beim Anlegen eines Benutzers konnte es potentiell dazu kommen, dass vertrauliche Daten in das interne Logfile der Instanz geschrieben wurden. Die Schwachstelle wurde behoben, so dass vertrauliche Daten im Logfile wieder korrekt durch entsprechende Platzhalter ersetzt werden.

Bei der Prüfung eines Sicherheitstokens konnte es in manchen Fällen vorkommen, dass die Gültigkeit des Tokens nicht vollumfänglich geprüft wird. Die Schwachstelle wurde behoben und alle CSRF-Tokens werden wieder korrekt auf Gültigkeit geprüft.

Im MediaPool war es unter bestimmten Umständen möglich, eine Endlosschleife von Aufrufen zu erzeugen, um dies für einen DoS-Angriff zu nutzen. Die Weiterleitungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Sitzungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Weblinks war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der anonyme Zugriff aktiviert und der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Glossaren war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In Übungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Mediacast war es unter bestimmten Umständen möglich, ohne Berechtigung Hintergrundtasks zu erstellen, um dies für einen DoS-Angriff zu nutzen. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Mediacast war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Im Lernmodul HTML war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung von Kacheln wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In den Objektübersetzungen war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

Durch das Einfügen von Schadcode in einer URL der Literaturliste waren potentiell Änderungen an der Datenbank möglich. Durch eine systemweite Verbesserung in der Verarbeitung der betroffenen Parameter wurde diese Schwachstelle geschlossen.

Im Test war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Darstellung von mehreren Fragetypen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Darstellung von Lückentextfragen wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, wodurch es potentiell möglich war, Schadcode auszuführen. Die Schwachstelle in der Ausgabe wurde behoben, um dies zukünftig zu vermeiden.

In der Lernsequenz war ein unerlaubter Zugriff auf bestimmte Bereiche ohne Anmeldung möglich, sofern der entsprechende Link bekannt war. Die Rechteeinstellungen wurden entsprechend angepasst und die Schwachstelle geschlossen.

In der Schnittstelle des LTI-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt, über die Schadcode ins System eingeschleust werden kann. Da diese Schnittstelle innerhalb von cate nicht genutzt wird, haben wir entschieden, sie für alle aktiven Versionen zu deaktivieren.

In der Darstellung der Lernplanung von Trainings wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Datensammlung-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Umfrage-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Konfiguration der PDF-Generation wurde eine Command-Injection-Schwachstelle (CI) entdeckt.

In der Darstellung der Stichworte (Tags) wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Survey Question Pool wurde eine Remote-Code-Execution-Schwachstelle (RCE) entdeckt.

In der Importfunktion des Test Question Pool wurde eine Remote-Code-Execution-Schwachstelle (RCE) entdeckt.

In der Darstellung der gelöschten Objekte wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Darstellung der Icon-Labels wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Darstellung der Navigation wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In bestimmten Fällen konnte unberechtigt auf Dateien zugegriffen werden, die von Background-Tasks erstellt wurden.

In der Importfunktion des Test-Moduls wurde eine Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

In der Importfunktion mehrerer Module wurden Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

In der Importfunktion des OrgUnits-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des Roles-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

In der Importfunktion des User-Moduls wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt.

Durch den Upload manipulierter Dateien konnte in bestimmten Situationen Schadcode ausgeführt werden.

In der Importfunktion mehrerer Module wurden Cross-Site-Scripting-Schwachstellen (XSS) entdeckt.

Über das Hochladen einer manipulierten Datei war die Ausnutzung einer Cross-Site-Scripting-Schwachstelle möglich.

Es konnten Cross-Site Scripting (XSS) Schwachstellen in mehreren Modulen ausfindig gemacht werden.

Beim Hochladen von manipulierten Dateien kann der SCORM-Import genutzt werden, um Dateien mit Schadcode auf dem Server einzuschleusen.

Das Test-Tool von SCORM 2004 kann missbraucht werden, um unberechtigten Zugriff auf Dateien zu erhalten.

Das Test-Tool von SCORM 2004 kann missbraucht werden, um willkürlich Dateien zu löschen, auf die der Webserver Schreibrechte hat.

Ein Angreifer kann möglicherweise den WebAccessChecker (WAC) nutzen, um unberechtigten Zugriff auf Dateien unterhalb des /data-Verzeichnisses zu bekommen.

Ein Angreifer kann möglicherweise den WebAccessChecker (WAC) nutzen, um unberechtigten Zugriff auf Dateien unterhalb des /data-Verzeichnisses zu bekommen.

Über eine Funktion in der SOAP-Schnittstelle kann ein Angreifer potentiell Manipulationen der Datenbank vornehmen.
Die SOAP-Schnittstelle wird in cate NICHT benutzt, aber es wurde aufgrund des Schweregrads der Sicherheitslücke entschieden, den Fix trotzdem zeitnah zu übernehmen.