PT-2025-42910 · WordPress · Moodle Pdf Annotator

Publicado 2025-10-21 · Atualizado 2025-10-21 · CVE-2025-60506

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Moodle PDF Annotator versão 1.5, release 9

Descrição O plugin Moodle PDF Annotator contém uma falha que permite cross-site scripting (XSS) armazenado por meio do recurso de Comentários Públicos. Um atacante com uma conta de baixo privilégio, como um Aluno, pode injetar payloads arbitrários de JavaScript em um comentário. Quando outro usuário—incluindo Alunos, Professores ou Administradores—visualiza o PDF anotado, o payload injetado é executado em seu navegador. Isso pode resultar em sequestro de sessão ou roubo de credenciais. O recurso vulnerável permite a injeção de código malicioso por meio da funcionalidade Comentários Públicos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-60506

Produtos afetados

Moodle Pdf Annotator

Referências · 7

• 🔥 https://onurcangenc.com.tr/posts/cve-2025-60506-stored-cross-site-scripting-xss-in-moodle-pdf-annotator-plugin-v1-5-release-9 · Exploit
• https://onurcangenc.com.tr/blog/moodle-xss-pdfannotator · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-60506 · Nota de Segurança
• https://twitter.com/onurcangenc1999/status/1980728473674039445 · Publicação no Twitter
• https://t.me/cveNotify/139669 · Publicação no Telegram
• https://github.com/onurcangnc/moodle-xss-pdfannotator · Nota
• https://twitter.com/CVEnew/status/1980688634291392867 · Publicação no Twitter