Release Information | Sicherheitsupdates in KW 44 (2026) für die Versionen Moodle 5.2.4 und sowie die LTS-Version 4.5.15
Wir möchten Sie darüber informieren, dass wir voraussichtlich in der kommenden Woche (KW 44 von 2026) die nächste Update-Welle für unsere Moodle-Systeme anstoßen werden. Im Rahmen dieser Wartungsarbeiten spielen wir die neuesten Sicherheitsupdates für die Versionen Moodle 5.2.4 und sowie die LTS-Version 4.5.15 ein.
Unsere Entwicklungsabteilung hat die sicherheitsrelevanten Änderungen analysiert. Der wichtigste Punkt betrifft eine Anpassung der Zugriffskontrolle bei der Nutzung von H5P-Inhalten.
Die Details im Überblick
1. Korrektur der Zugriffskontrolle bei H5P-Inhalten (MDL-89547)
Schwachstellentyp: Fehlende Zugriffskontrolle / Berechtigungsumgehung
Bei der internen Verarbeitung von H5P-Inhalten werden Dateien entpackt und zur Ansicht bereitgestellt. Bei der direkten Auslieferung dieser entpackten Dateien wurden die Moodle-Zugriffsrechte bislang nicht in allen Fällen vollständig geprüft. Dadurch konnten unter bestimmten Voraussetzungen auch ohne entsprechende Rechte geschützte H5P-Dateien und enthaltene Medien aufgerufen werden – beispielsweise aus versteckten Kursen, zugriffsbeschränkten Aktivitäten oder der H5P-Inhaltsbank.
Behebung: Der Prüfmechanismus wurde überarbeitet, sodass beim Dateimabruf nun ausnahmslos die für den jeweiligen Inhalt definierten Moodle-Berechtigungen berücksichtigt werden. Dies ist insbesondere dann relevant, wenn über H5P geschützte, nicht-öffentliche oder prüfungsrelevante Inhalte bereitgestellt werden.
2. Sicherheitsupdates für Editor-Bibliotheken TinyMCE & PrismJS (MDL-89591)
Schwachstellentyp: Upstream Security Update (Cross-Site Scripting / XSS)
Im Moodle-5.2-Versionszweig wurden die Bibliotheken TinyMCE und PrismJS auf neuere Versionen aktualisiert, um Stored-XSS-Schwachstellen der jeweiligen Upstream-Komponenten zu schließen. Nach unserer Prüfung waren diese Lücken innerhalb von Moodle nicht direkt ausnutzbar; das Update dient der vorsorglichen Absicherung.
Eine technische Gesamtübersicht aller Release Notes finden Sie direkt beim Moodle Headquarters: https://moodledev.io/general/releases
Vielen Dank für Ihr Verständnis.
Ihr eLeDia-Team