CVE-2026-104049
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Academy LMS w wersji przed 4.0.0 nie weryfikuje zapisu na kurs ani własności obiektu przy zwracaniu treści lekcji przez jeden ze swoich endpointów REST API. Umożliwia to użytkownikom z możliwością samodzielnej rejestracji konta studenckiego odczytanie pełnej treści dowolnych lekcji, w tym lekcji kursów płatnych lub prywatnych, do których nie są zapisani.
Ocena ryzyka
Atakujący może uzyskać dostęp do płatnych lub prywatnych treści kursowych bez uprawnień, co prowadzi do utraty przychodów i naruszenia poufności materiałów. Podważa to model biznesowy platformy edukacyjnej.
Rekomendacja
Zaktualizuj wtyczkę Academy LMS do wersji 4.0.0 lub nowszej. Sprawdź, czy nie doszło do nieautoryzowanego dostępu do treści lekcji.
Inne podatności w Academy LMS WordPress plugin
Zobacz wszystkie- CVE-2026-104050Średnie
Wtyczka WordPress Academy LMS w wersji przed 4.0.0 nie sprawdza, czy pytanie quizowe należy do kursu, do którego użytkownik ma uprawnienia, przed zwróceniem opcji odpowiedzi. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z dostępem do jednego kursu, np. zapisanemu studentowi, odczytanie opcji odpowiedzi pytań z innych kursów, do których nie jest zapisany.
- CVE-2026-16563Średnie
Wtyczka Academy LMS do WordPressa przed wersją 3.8.3 nie weryfikuje zapisu na kurs ani statusu publikacji lekcji przy zwracaniu pojedynczej lekcji przez REST API. Użytkownicy z kontem studenta (Subscriber) mogą ujawnić treść dowolnych lekcji, w tym lekcji z płatnych kursów, na które nie są zapisani, oraz lekcji nieopublikowanych (szkic, oczekujące, prywatne).
- CVE-2026-14184Średnie
Wtyczka Academy LMS dla WordPressa przed wersją 3.8.1 nie weryfikuje własności identyfikatora użytkownika w kilku procedurach AJAX lekcji. Uwierzytelnieni użytkownicy z poziomem subskrybenta mogą odczytywać i modyfikować notatki innych użytkowników oraz oznaczać ich postępy jako ukończone.
Oryginalny opis (angielski, źródło NVD)
The Academy LMS WordPress plugin before 4.0.0 does not verify course enrollment or object ownership when returning a lesson's content through one of its REST API routes, allowing users with a self-registerable student account to read the full content of arbitrary lessons, including lessons of paid or private courses they are not enrolled in.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS