岡山大学Moodle FAQ

ブラウザ表示のセキュリティリスク

Webサイト上でアクセスしたファイルがダウンロードではなくブラウザ内で表示される場合、そのファイル内のJavaScriptコードが実行され、表示したユーザの権限で当該Webサイトの各種機能に知らないうちにアクセスできるというセキュリティ上のリスク（いわゆるXSS）があります。

Moodleの「フォルダ」モジュールは、デフォルトでは「教師」のみがフォルダ内のファイルの管理が可能ですが、管理権限である「mod/folder:managefiles」ケイパビリティを「教師」以外のユーザに付与する運用形態も多いため、フォルダ内のファイルを開くと、デフォルトで強制的にダウンロードされる仕様となっています。

強制ダウンロードの解除方法

管理権限をもつユーザが意図してあるいは意図せずXSSの原因となるファイルをアップロードする心配がない場合は、「フォルダ」の設定で「ファイルを強制的にダウンロードする」のオプションをオフとすることで、ダウンロードではなくブラウザ内での表示とさせることができます。