CVE-2026-104915
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą trwale usuwać dowolne komentarze lekcji Academy i ich odpowiedzi, napisane przez dowolnego użytkownika, w tym administratorów, w kursach, których nie prowadzą. Luka jest wykorzystywalna przez każdego użytkownika zarejestrowanego jako instruktor Academy dla co najmniej jednego kursu, ponieważ mogą podać własne course_id, aby przejść kontrolę instruktora, celując w komentarze należące do zupełnie innych kursów.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane usuwanie treści edukacyjnych, co może prowadzić do utraty danych i zakłócenia procesu nauczania.
Rekomendacja
Zaleca się aktualizację wtyczki Academy LMS do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia użytkowników i monitorować aktywność instruktorów.
Inne podatności w Academy LMS
Zobacz wszystkie- CVE-2026-9341Średnie
Wtyczka Academy LMS dla WordPressa do 3.8.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcjach AJAX 'save_lesson_note', 'get_lesson_note' i 'complete_lesson_video'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym odczyt, nadpisanie lub usunięcie prywatnych notatek lekcji innych użytkowników, w tym administratorów, oraz fałszowanie postępu ukończenia lekcji dla dowolnych użytkowników.
- CVE-2026-104022Średnie
Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na eskalację uprawnień. Funkcja `add_child()` nadaje rolę `academy_student` każdemu istniejącemu kontu na podstawie parametru `email` przed walidacją relacji opiekun-podopieczny, a gdy walidacja zwróci błąd, nie cofa nadania roli. Umożliwia to uwierzytelnionym atakującym z rolą `academy_guardian` lub wyższą podniesienie uprawnień dowolnego konta, w tym własnego, do roli `academy_student`, zyskując możliwość edycji postów (jak Contributor) i, przy włączonym ustawieniu przesyłania plików, przesyłania plików (jak Author).
- CVE-2026-12376Średnie
Wtyczka Academy LMS dla WordPressa do wersji 3.8.2 nie ogranicza dostępu do rekordów prób quizów do ich właściciela. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie subskrybenta i wyższym (zapisanemu na dowolny kurs) na odczytanie prób quizów wszystkich użytkowników w całej witrynie, w tym danych osobowych takich jak adresy IP, nazwiska, daty rejestracji i wyniki quizów.
- CVE-2026-5348Średnie
Wtyczka Academy LMS dla WordPressa do wersji 3.8.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w punkcie końcowym REST API '/topics'. Brak weryfikacji uprawnień umożliwia nieuwierzytelnionym atakującym dostęp do szczegółowych danych kursów, w tym tych prywatnych, wersji roboczych, zaplanowanych lub chronionych hasłem.
- CVE-2025-68527Średnie
Wtyczka Academy LMS do wersji 3.4.0 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.
- CVE-2025-12098Średnie
Wtyczka Academy LMS – WordPress LMS Plugin for Complete eLearning Solution do wersji 3.3.8 jest podatna na ujawnienie wrażliwych informacji przez funkcję 'enqueue_social_login_script'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane, w tym sekret aplikacji Facebook, jeśli włączone jest logowanie przez Facebook.
- CVE-2023-4119Średnie
W Akademii LMS w wersji 6.0 zidentyfikowano podatność, która prowadzi do ataków typu cross site scripting. Problem dotyczy nieznanego kodu w pliku /academy/home/courses, a manipulacja argumentem query/sort_by umożliwia przeprowadzenie ataku zdalnego.
Oryginalny opis (angielski, źródło NVD)
The Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.0.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with custom-level access and above, to permanently delete arbitrary Academy lesson comments and their replies authored by any user, including administrators, across courses they do not instruct. This is exploitable by any user registered as an Academy instructor for at least one course, as they can supply their own course_id to pass the instructor check while targeting comments belonging to entirely different courses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS