CVE-2023-4119
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 79 - wyżej niż 79% wszystkich znanych CVE
Streszczenie
W Akademii LMS w wersji 6.0 zidentyfikowano podatność, która prowadzi do ataków typu cross site scripting. Problem dotyczy nieznanego kodu w pliku /academy/home/courses, a manipulacja argumentem query/sort_by umożliwia przeprowadzenie ataku zdalnego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzykiwania złośliwego kodu, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Organizacje powinny być świadome potencjalnych zagrożeń związanych z bezpieczeństwem ich aplikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Akademii LMS oraz monitorowanie i zabezpieczanie aplikacji przed atakami XSS. Należy również rozważyć wprowadzenie dodatkowych środków ochrony, takich jak filtrowanie danych wejściowych.
Inne podatności w Academy LMS 6.0
Zobacz wszystkie- CVE-2026-9341Średnie
Wtyczka Academy LMS dla WordPressa do 3.8.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcjach AJAX 'save_lesson_note', 'get_lesson_note' i 'complete_lesson_video'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym odczyt, nadpisanie lub usunięcie prywatnych notatek lekcji innych użytkowników, w tym administratorów, oraz fałszowanie postępu ukończenia lekcji dla dowolnych użytkowników.
- CVE-2026-12376Średnie
Wtyczka Academy LMS dla WordPressa do wersji 3.8.2 nie ogranicza dostępu do rekordów prób quizów do ich właściciela. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie subskrybenta i wyższym (zapisanemu na dowolny kurs) na odczytanie prób quizów wszystkich użytkowników w całej witrynie, w tym danych osobowych takich jak adresy IP, nazwiska, daty rejestracji i wyniki quizów.
- CVE-2026-5348Średnie
Wtyczka Academy LMS dla WordPressa do wersji 3.8.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w punkcie końcowym REST API '/topics'. Brak weryfikacji uprawnień umożliwia nieuwierzytelnionym atakującym dostęp do szczegółowych danych kursów, w tym tych prywatnych, wersji roboczych, zaplanowanych lub chronionych hasłem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Academy LMS 6.0 and classified as problematic. This vulnerability affects unknown code of the file /academy/home/courses. The manipulation of the argument query/sort_by leads to cross site scripting. The attack can be initiated remotely. VDB-235966 is the identifier assigned to this vulnerability. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS