13.0.1
13.1.1
13.2.1
13.3.1
13.4.1
13.5.1
13.6.1
13.7.1
13.8.1
13.9.1
13.10.1
13.11.1
13.12.1
13.13.1
13.14.1
13.15.1
13.16.1
13.17.1
13.18.1
13.19.1
13.20.1
13.21.1
13.22.1
13.23.1
13.24.1
13.25.1
13.26.1
13.27.1
13.28.1
13.29.1
13.30.1
13.31.1
13.32.1
13.33.1
13.34.1
13.35.1
13.36.1
13.37.1
13.38.1
13.39.1
13.40.1
13.41.1
13.42.1
13.43.1
13.44.1
13.45.1
14.0.1
14.1.1
14.2.1
14.3.1
14.4.1
14.5.1
14.6.1
14.7.1
14.8.1
14.9.1
14.10.1
14.11.1
14.12.1
14.13.1
14.14.1
14.15.1
14.16.1
14.17.1
14.18.1
14.19.1
14.20.1
14.21.1
14.22.1
14.23.1
14.24.1
14.25.1
14.26.1
14.27.1
14.28.1
14.29.1
14.30.1
14.31.1
14.32.1
14.33.1
14.34.1
14.35.1
14.36.1
14.37.1
15.0.1
15.1.1
15.2.1
15.3.1
15.4.1
15.5.1
15.6.1
15.7.1
15.8.1
15.9.1
15.10.1
15.11.1
15.12.1
15.13.1
15.14.1
15.15.1
15.16.1
15.17.1
15.18.1
15.19.1
15.20.1
15.21.1
15.22.1
15.23.1
15.24.1
15.25.1
15.26.1
15.27.1
15.28.1
15.29.1
15.30.1
15.31.1
15.32.1
16.0.1
16.1.1
16.2.1
16.3.1
16.4.1
16.5.1
16.6.1
16.7.1
16.8.1
16.9.1
16.10.1
16.11.1
16.12.1
16.13.1
16.14.1
16.15.1
16.16.1
16.17.1
16.18.1
16.19.1
16.20.1
16.21.1
16.22.1
16.23.1
16.24.1
16.25.1
16.26.1
17.0.1
17.1.1
17.2.1
17.3.1
17.4.1
17.5.1
17.6.1
17.7.1
17.8.1
17.9.1
17.10.1
17.11.1
17.12.1
17.13.1
17.14.1
17.15.1
17.16.1
17.17.1
17.18.1
17.19.1
17.20.1
18.0.1
18.1.1
18.2.1
18.3.1
18.4.1
18.5.1
18.6.1
18.7.1
CVE-2024-3932 描述了 Totara LMS 中发现的一个问题，该问题被归类为可疑漏洞。该漏洞影响 Totara LMS 的用户选择器组件，可能导致跨站请求伪造 (CSRF) 攻击。受影响的版本包括 Totara LMS 18.7 及更早版本。建议升级至 18.8 版本以解决此问题。
跨站请求伪造 (CSRF) 攻击允许攻击者在用户不知情的情况下，以用户的身份执行未经授权的操作。在 Totara LMS 的上下文中，攻击者可能利用此漏洞执行诸如更改用户权限、创建新用户或修改课程设置等恶意操作。攻击者可以通过诱骗用户点击恶意链接或访问恶意网站来发起攻击，该网站会向 Totara LMS 发送伪造的请求。由于攻击的复杂性较高，且需要用户交互，因此影响范围可能相对有限，但仍然可能对系统安全造成威胁。
该漏洞已公开披露，可能存在公开的利用程序。目前尚无关于该漏洞被积极利用的公开报告，但由于漏洞已公开，建议尽快采取缓解措施。该漏洞已添加到 CISA KEV 目录中，表明其潜在风险较高。
Organizations and educational institutions utilizing Totara LMS, particularly those running versions prior to 18.8, are at risk. Shared hosting environments where multiple Totara LMS instances reside on the same server could amplify the impact if one instance is compromised.
• wordpress / composer / npm:
grep -r "User Selector" /var/www/totara/• generic web:
curl -I https://your-totara-instance/user/selector | grep -i "csrf-token"disclosure
漏洞利用状态
EPSS
0.05% (15% 百分位)
CISA SSVC
CVSS 向量
解决 CVE-2024-3932 的主要方法是升级 Totara LMS 至 18.8 版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以配置 Web 应用防火墙 (WAF) 以检测和阻止 CSRF 攻击。此外，可以审查 Totara LMS 的配置，确保用户权限设置合理，并限制用户可以执行的操作。在升级后，请验证漏洞是否已成功修复，可以通过尝试发起 CSRF 攻击来确认。
将 Totara LMS 升级到版本 13.46、14.38、15.33、16.27、17.21 或 18.8，或更高版本。这将修复用户选择器中的跨站请求伪造 (CSRF) 漏洞。建议在升级之前进行备份。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-3932 是 Totara LMS (≤18.7) 中的一个跨站请求伪造 (CSRF) 漏洞，攻击者可以利用它在用户不知情的情况下执行未经授权的操作。
如果您正在使用 Totara LMS 18.7 或更早版本，则您可能受到此漏洞的影响。请尽快升级至 18.8 版本。
升级 Totara LMS 至 18.8 版本是修复此漏洞的最佳方法。如果无法立即升级，请考虑实施 Web 应用防火墙 (WAF) 等临时缓解措施。
目前尚无关于该漏洞被积极利用的公开报告，但由于漏洞已公开，建议尽快采取缓解措施。
请访问 Totara LMS 官方网站或安全公告页面，查找有关 CVE-2024-3932 的详细信息和更新。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。