私は全く気付いていなかったのですが，「サイト管理」の中の［レポート］に［セキュリティレビュー］という項目が増えていますね．本校の情報処理センターの管理者より，クリティカルな項目がいくつかある（全学利用のMoodle）が，白井の管理しているMoodleではどうか？という問い合わせがありました．私の管理しているものの方が沢山の警告とクリティカルがありました．．．
みなさんのところではどうでしょうか？
”危険なケイパビリティが設定されている”とのことで，ロールの権限を調べてみたのですが，標準設定通り（確かに警告通りにクリティカルなものもありますが...）で，原因が分からないものもあります．
＃さらに詳しく調べようとするとエラー(PHPの)が出たりもしますので，まだ開発途上かとも思ったのですが，やはりクリティカルと言われると心配です．
たとえば一番上の”すべてのユーザのデフォルトロール”： 「デフォルトユーザロール「認証済みユーザ」は，正しくない定義です！」とあります．
ユーザポリシーのページで確認すると，”すべてのユーザのデフォルトロール”は確かに「認証済みユーザ」を選択しています．でも，デフォルトは「認証済みユーザ」であると記述されているのですが...
ちなみにセキュリティレビューのコメントでは，「すべてのログインユーザには、
デフォルトのユーザロールのケイパビリティが割り当てられます。このロールにリスクのあるケイパビリティが許可されているかどうか確認してください。
デフォルトのユーザロールでサポートされているレガシータイプのロールは「認証ユーザ」のみです。コース閲覧ケイパビリティは、有効にしないでください。
とのこと．「認証済みユーザ」と「認証ユーザ」は同じもののことですよね．認証済みユーザのケイパビリティに問題がある？
よろしければ以下の手順をお試しください。
ご確認頂きまして、ありがとうございます。
Moodle 3.8.2+ (Build: 20200417) をクリーンインストールして、ロール「 認証済みユーザ 」のケイパビリティ「あなた自身のデータ削除リクエスト tool/dataprivacy:requestdelete」の「パーミッション」の「許可」のチェックを外してみましたが、「セキュリティ概要」レポートでの「すべてのユーザのデフォルトロール」のステータスは「クリティカル」から「OK」に変わるようです。
以下のSQL文により、現在お使いの環境で「クリティカル」の原因となっているケイパビリティを特定できるかと思います。
SELECT * FROM mdl_role_capabilities rc JOIN mdl_capabilities cap ON cap.name = rc.capability WHERE ((cap.riskbitmask) & (38)) <> 0 AND rc.permission = 1 AND rc.roleid = 7
ご確認頂きまして、ありがとうございます。
ケイパビリティ (capability)「moodle/course:changecategory」の部分ですが、もしかしましたら、以下の投稿の手順に従って、複数のコースカテゴリで「認証済みユーザ」に対してケイパビリティ「コースカテゴリを変更する moodle/course:changecategory」を「許可」にされていませんでしょうか？
[Re: Moodle 3.5.4 作成したコースのカテゴリが変更できない問題]
https://moodle.org/mod/forum/discuss.php?d=384045#p1547908
また、ケイパビリティ (capability)「moodle/webservice:createtoken」に関しましては「管理 > サイト管理 > ユーザ > パーミッション > ロールを定義する」ページで「認証済みユーザ」に対してケイパビリティ「ウェブサービストークンを作成するmoodle/webservice:createtoken」が「許可」にされているかどうかご確認ください。