CVE-2025-68527
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Academy LMS do wersji 3.4.0 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Academy LMS do najnowszej wersji, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w Academy LMS
Zobacz wszystkie- CVE-2026-9341Średnie
Wtyczka Academy LMS dla WordPressa do 3.8.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcjach AJAX 'save_lesson_note', 'get_lesson_note' i 'complete_lesson_video'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym odczyt, nadpisanie lub usunięcie prywatnych notatek lekcji innych użytkowników, w tym administratorów, oraz fałszowanie postępu ukończenia lekcji dla dowolnych użytkowników.
- CVE-2026-12376Średnie
Wtyczka Academy LMS dla WordPressa do wersji 3.8.2 nie ogranicza dostępu do rekordów prób quizów do ich właściciela. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie subskrybenta i wyższym (zapisanemu na dowolny kurs) na odczytanie prób quizów wszystkich użytkowników w całej witrynie, w tym danych osobowych takich jak adresy IP, nazwiska, daty rejestracji i wyniki quizów.
- CVE-2026-5348Średnie
Wtyczka Academy LMS dla WordPressa do wersji 3.8.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w punkcie końcowym REST API '/topics'. Brak weryfikacji uprawnień umożliwia nieuwierzytelnionym atakującym dostęp do szczegółowych danych kursów, w tym tych prywatnych, wersji roboczych, zaplanowanych lub chronionych hasłem.
- CVE-2025-12098Średnie
Wtyczka Academy LMS – WordPress LMS Plugin for Complete eLearning Solution do wersji 3.3.8 jest podatna na ujawnienie wrażliwych informacji przez funkcję 'enqueue_social_login_script'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane, w tym sekret aplikacji Facebook, jeśli włączone jest logowanie przez Facebook.
- CVE-2023-4119Średnie
W Akademii LMS w wersji 6.0 zidentyfikowano podatność, która prowadzi do ataków typu cross site scripting. Problem dotyczy nieznanego kodu w pliku /academy/home/courses, a manipulacja argumentem query/sort_by umożliwia przeprowadzenie ataku zdalnego.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Kodezen LLC Academy LMS academy allows Stored XSS.This issue affects Academy LMS: from n/a through <= 3.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS