Uma publicação de 28 de setembro relata possível bypass da validação de arquivos no Moodle 3.9.2 e solicita um identificador CVE. Outras versões não foram verificadas.
Uma mensagem divulgada no feed oss-sec em 28 de setembro de 2026 relata upload irrestrito de arquivos e validação inadequada de entrada no Moodle LMS 3.9.2. O autor classifica o caso como CWE-434/CWE-20 e afirma que solicitou um identificador CVE. Segundo o relato, o fornecedor, descrito como uma CNA registrada, não atribuiu um identificador após a divulgação coordenada; uma solicitação à MITRE CNA-LR, CAN-2026-2032565, estaria em análise havia cerca de três meses, sem resposta. Essas informações são alegações da publicação, não uma confirmação independente.
A versão 3.9.2 é a única indicada como confirmada; o texto diz que outras versões ainda não foram verificadas. Consulte a mensagem original no arquivo do oss-sec e confira eventuais atualizações, a análise do fornecedor e o estado do pedido de CVE antes de tomar decisões. O trecho disponível não informa todos os detalhes técnicos nem permite concluir que haja execução remota de código. Se usar IA para analisar o relato ou preparar uma avaliação interna, não envie dados pessoais, credenciais ou detalhes sensíveis sem autorização e aplique a política da organização.