CVE-2026-118090

Wtyczka MasterStudy LMS dla WordPress przed wersją 3.7.50 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentowi, wywołać akcję AJAX stm_lms_send_test_email_ajax bez weryfikacji uprawnień i nonce. Atakujący mogą wywołać ten handler bezpośrednio lub przez CSRF, powodując nieprzechwycony błąd krytyczny PHP, który przy włączonym display_errors ujawnia bezwzględną ścieżkę systemu plików wtyczki.

Wtyczka MasterStudy LMS dla WordPress przed wersją 3.7.50 zawiera podatność przejścia ścieżki (path traversal), która pozwala uwierzytelnionym użytkownikom na poziomie Subskrybenta importować dowolne pliki WXR XML poprzez podanie sekwencji przejścia katalogów w parametrze stm_lms_step przekazywanym do akcji AJAX stm_lms_import_sample_data, która nie ma kontroli uprawnień ani weryfikacji nonce. Atakujący mogą przejść przez system plików, aby odwołać się do osiągalnego pliku WXR i opublikować zawarte w nim wpisy pod własną tożsamością, umożliwiając publikację treści, tytułu, typu i metadanych wybranych przez atakującego.

Wtyczka MasterStudy LMS do WordPressa (do wersji 3.7.55) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonywać akcje zastrzeżone dla uprzywilejowanych ról.

Podatność na trwały XSS w pluginie MasterStudy LMS (wersje do 3.7.52) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy użytkownik jest zapisany na kurs, przed zarejestrowaniem ukończenia lekcji. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na tworzenie rekordów postępu kursu dla kursów, do których nie ma dostępu.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.50 nie przeprowadza kontroli własności obiektu przy zwracaniu wyniku próby quizu, co pozwala każdemu uwierzytelnionemu użytkownikowi z minimalną rolą subskrybenta na odczyt ocen, statusów zaliczenia i znaczników czasu prób innych uczniów, odwołując się do identyfikatora próby należącego do innego użytkownika.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.50 nie odpowiednio sanityzuje i ogranicza HTML w treści wprowadzanej przez użytkowników przed jej zapisaniem i wyświetleniem innym użytkownikom, co pozwala użytkownikom z rolą subskrybenta i wyższą na przeprowadzenie ataku polegającego na wstrzyknięciu trwałego HTML, takiego jak osadzanie iframe, które może być wykorzystane do phishingu i fałszowania treści wobec innych użytkowników.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy żądający użytkownik jest właścicielem kursu, przed zwróceniem danych zapisanych studentów. Umożliwia to użytkownikom z rolą Instructor ujawnienie imion i adresów e-mail studentów zapisanych na kursy innych instruktorów.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie przeprowadza kontroli autoryzacji przed zwróceniem statystyk nauki studenta, co pozwala nieuwierzytelnionym atakującym na ujawnienie liczby kursów, punktów, certyfikatów, sum quizów i zadań dowolnego zarejestrowanego użytkownika.

Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.46 nieprawidłowo weryfikuje własność obiektu programu nauczania przed działaniem na nim, co pozwala uwierzytelnionym użytkownikom z rolą instruktora usuwać lub modyfikować sekcje i materiały programu nauczania należące do kursów innych instruktorów.