2026-11-09 01:45:26 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【漏洞预警】Moodle 题库 Web 服务爆出SQL注入漏洞(POC已公开)CVE-2026-102578

YGnight
YGnight

night安全

2026年11月6日 09:23
四川

去阅读

一、漏洞描述

Moodle 是学校里常见的开源课程系统，题库那块存着试题、版本和历史记录，改题、组卷、考试都从这里取数。这次漏洞的产生主要是出在题库的历史页。页面要列出某道题的各个版本，必须要知道题目编号。编号从请求里带过来，字段名 entryid，跟其他参数一起放在 extraparams 里，交给 Moodle 通用的片段接口。服务端拿到这个值，转手就拼进了查题目版本的那条 SQL，没做类型处理。


CVE 编号	CVE-2026-102578
公告编号	GHSA-hvr9-w78p-rcfj，厂商公告 MSA-26-0031
漏洞类型	SQL 注入，CWE-89
影响组件	qbank\_history 的 question\_history\_view，入口 core\_get\_fragment
受影响版本	4.5 到 4.5.12、5.0 到 5.0.8、5.1 到 5.1.5、5.2 到 5.2.1
修复版本	4.5.13、5.0.9、5.1.6、5.2.2，或更新的受支持分支
触发前提	已登录且能调用题库片段接口。访客那条路径只在开启访客登录的站点上被脚本测到过
危害面	逐字节取出数据库里可读的字段，预设覆盖重置令牌、密码哈希、会话记录与试题答案。CVE 记录另写了改动与删除
CVSS	CVSS 3.1 两份，5.5 由 GitHub 公告与 Red Hat 按高权限给出，8.8 由 NVD 按低权限给出

二、漏洞原理

入口在 Moodle 的 ajax 服务上，接口名 core\_get\_fragment，本来用来按需取页面片段。

// 片段请求参数示意，方法 core\_get\_fragment
component mod\_quiz
callback question\_data
args.view \qbank\_history\question\_history\_view
args.extraparams {\"entryid\": \"<值>\", \"returnurl\": \"/\"}

extraparams 是段 JSON，view 指定渲染用的类，entryid 指定看哪道题。question\_history\_view 接到这个数组之后，取值只有一行，往下拼查询也就几行。

// question\history\_view.php 修复前
public function \\_construct(...) {
$this->entryid = $extraparams['entryid'];
}

protected function build\_query(): void {
$entryid = \"qbe.id = $this->entryid\";
$tests = ['q.parent = 0', $entryid];
$sql .= ' WHERE ' . implode(' AND ', $tests);
}

从请求到 SQL，中间没有类型约束。字符串插值发生在 build\_query 里，拼好的 WHERE 交给 Moodle 的数据库层执行。

引号空格都进得去。

那份脚本在 entryid 里塞的是一段 UNION 查询，布尔条件成立就返回 -1，不成立就返回 0。两种结果会走成两种固定的 Moodle 报错，看返回体里的错误码就能判出这一位是真是假。

// MariaDB 与 MySQL，entryid 的取值
0 AND 1=0 UNION ALL SELECT IF((条件),-1,0) ORDER BY 1 ASC #

// 返回体里的错误码
条件成立 codingerror
条件不成立 dmlreadexception

长度先问出来，再按位置逐字节比对，一个字符串要发十倍于字节数的请求，库里的值就是这样被搬出来的。

能读到的范围由 Moodle 连库用的账号决定，跟当前登录的人在页面上能看哪些课、哪些题无关。随附说明里也提到，访客身份打不开课程页，片段接口照样把值读了回去。

补丁只动了这个文件。

// MDL-89383 ebfb102 修复后
$this->entryid = clean\_param($extraparams['entryid'] ?? 0, PARAM\_INT);

$tests = ['q.parent = 0', 'qbe.id = :entryid'];

// 放在搜索条件之后，避免同名参数把值盖掉
$this->sqlparams = array\_merge($this->sqlparams, ['entryid' => $this->entryid]);

入口先把值过成整数，拼 SQL 的地方换成命名占位符，绑定参数最后才并进去。最后这一步是防搜索条件里出现同名参数，把 entryid 盖掉。字符串插值的口子到此就没了。