CVE-2026-16563
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Academy LMS do WordPressa przed wersją 3.8.3 nie weryfikuje zapisu na kurs ani statusu publikacji lekcji przy zwracaniu pojedynczej lekcji przez REST API. Użytkownicy z kontem studenta (Subscriber) mogą ujawnić treść dowolnych lekcji, w tym lekcji z płatnych kursów, na które nie są zapisani, oraz lekcji nieopublikowanych (szkic, oczekujące, prywatne).
Ocena ryzyka
Studenci mogą uzyskać dostęp do treści lekcji, do których nie mają uprawnień, w tym lekcji z płatnych kursów i lekcji nieopublikowanych, co narusza integralność systemu LMS.
Rekomendacja
Należy zaktualizować wtyczkę Academy LMS do wersji 3.8.3 lub nowszej, która zawiera poprawkę weryfikującą zapis na kurs i status publikacji lekcji.
Inne podatności w Academy LMS WordPress plugin
Zobacz wszystkie- CVE-2026-104050Średnie
Wtyczka WordPress Academy LMS w wersji przed 4.0.0 nie sprawdza, czy pytanie quizowe należy do kursu, do którego użytkownik ma uprawnienia, przed zwróceniem opcji odpowiedzi. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z dostępem do jednego kursu, np. zapisanemu studentowi, odczytanie opcji odpowiedzi pytań z innych kursów, do których nie jest zapisany.
- CVE-2026-104049Średnie
Wtyczka WordPress Academy LMS w wersji przed 4.0.0 nie weryfikuje zapisu na kurs ani własności obiektu przy zwracaniu treści lekcji przez jeden ze swoich endpointów REST API. Umożliwia to użytkownikom z możliwością samodzielnej rejestracji konta studenckiego odczytanie pełnej treści dowolnych lekcji, w tym lekcji kursów płatnych lub prywatnych, do których nie są zapisani.
- CVE-2026-14184Średnie
Wtyczka Academy LMS dla WordPressa przed wersją 3.8.1 nie weryfikuje własności identyfikatora użytkownika w kilku procedurach AJAX lekcji. Uwierzytelnieni użytkownicy z poziomem subskrybenta mogą odczytywać i modyfikować notatki innych użytkowników oraz oznaczać ich postępy jako ukończone.
Oryginalny opis (angielski, źródło NVD)
The Academy LMS WordPress plugin before 3.8.3 does not verify course enrollment or lesson publication status when returning a single lesson through its REST API, allowing users with a self-service student (Subscriber-level) account to disclose the content of arbitrary lessons, including lessons of paid courses they are not enrolled in and unpublished (draft, pending, private) lessons.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS