Opigno group manager - Critical - Arbitrary PHP code execution - SA-CONTRIB-2024-027

Critical
拡張モジュール

2024/8/7 (日本時間:GMT+9)、Opigno group managerにおいて脆弱性が発見されました。
 
インストールしているモジュールのバージョンを確認のうえ、アップデートをおすすめします。

●プロジェクト :Opigno group manager
●投稿日 :2024/8/7
●セキュリティリスク :Critical
●脆弱性 :Arbitrary PHP code execution

==概要== 
Opigno group managerプロジェクトはOpigno LMSディストリビューションに関連しています。これはモジュール、コース、その他のアクティビティを組み合わせ、順序付けし、ステップからステップへの遷移のための条件ルールを定義することによって、学習パスのコンテンツを構築することができます。 

管理フォームでは、任意のコードを実行することができます。 

この問題はいくつかの要因によって軽減されています。まず、攻撃者が "update group learning_path "という権限を持っている必要があります。さらに、この攻撃には複数のステップを必要とし、システム内の他のデータが所定の位置にあることに依存します。

==解決方法==

最新バージョンをインストールしてください。 

Drupal 10.x向けのopigno_group_managerモジュールを使用している場合は、opigno_group_manager 3.1.1にアップグレードしてください。  
 

==元記事==
https://www.drupal.org/sa-contrib-2024-027