CVE-2026-11773
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.1 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie studenta lub wyższym mogą modyfikować treść ogłoszeń kursów utworzonych przez instruktorów lub administratorów.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej modyfikacji ogłoszeń kursów, co może prowadzić do wprowadzenia w błąd uczestników kursów lub naruszenia integralności treści edukacyjnych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Masteriyo LMS do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Masteriyo LMS
Zobacz wszystkie- CVE-2026-65463Średnie
Wtyczka Masteriyo - LMS w wersji 2.3.1 i starszych zawiera podatność na Insecure Direct Object References (IDOR) z poziomu subskrybenta. Subskrybent może uzyskać dostęp do zasobów innych użytkowników.
- CVE-2026-59513Średnie
Wtyczka Masteriyo - LMS w wersji 2.3.0 i starszych zawiera podatność na atak XSS (Cross Site Scripting) z poziomu subskrybenta. Subskrybent może wstrzyknąć złośliwy skrypt.
- CVE-2026-73996Krytyczne
Nieuwierzytelniona podatność Arbitrary File Upload w wtyczce Masteriyo - LMS w wersjach do 2.3.2. Atakujący bez logowania może przesłać dowolne pliki na serwer.
- CVE-2026-13332Krytyczne
Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.1 nieprawidłowo weryfikuje autoryzację w nieuwierzytelnionej akcji AJAX używanej do czyszczenia sesji użytkowników, co pozwala nieuwierzytelnionym atakującym zakończyć aktywne sesje (wymusić wylogowanie) dowolnego użytkownika na stronie, w tym administratorów.
- CVE-2026-19712Średnie
Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.3 nie sanityzuje i nie escapuje pola quizu przed wyświetleniem go na stronie, a rola instruktora ma możliwość przechowywania niesfiltrowanego HTML, co pozwala takim użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu stronę, w tym administratorom. Dotyczy to standardowych instalacji jednoserwisowych; instalacje multisite lub z zdefiniowaną stałą DISALLOW_UNFILTERED_HTML nie są dotknięte.
- CVE-2026-42743Średnie
Wersje Masteriyo - LMS do 2.1.8 zawierają lukę w uwierzytelnianiu, która pozwala na nieautoryzowany dostęp.
- CVE-2026-39524Wysokie
Wersje Masteriyo - LMS do 2.1.5 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
- CVE-2026-5167Średnie
Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika. Funkcja handle_webhook() nie weryfikuje poprawnie sygnatury webhooka, co pozwala nieuwierzytelnionym atakującym na wysyłanie fałszywych zdarzeń Stripe i oznaczanie dowolnych zamówień jako opłaconych bez płatności.
Oryginalny opis (angielski, źródło NVD)
The Masteriyo LMS – LMS Course Builder, Quizzes & Certificates plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.2.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with student-level access and above, to modify the description (post content) of arbitrary course announcements authored by instructors or administrators.