CVE-2026-5060
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka MasterStudy LMS dla WordPressa jest podatna na IDOR w funkcji stm_lms_delete_cover(). Brak weryfikacji własności pliku przed wywołaniem wp_delete_attachment() pozwala uwierzytelnionym użytkownikom (od Instruktora wzwyż) na usuwanie dowolnych załączników innych użytkowników poprzez enumerację identyfikatorów. Dotyczy wersji do 3.7.14 włącznie.
Ocena ryzyka
Atakujący może usunąć dowolne załączniki, w tym pliki innych użytkowników, co może prowadzić do utraty danych lub zakłócenia działania strony.
Rekomendacja
Zaleca się aktualizację wtyczki MasterStudy LMS do najnowszej wersji.
Inne podatności w MasterStudy LMS
Zobacz wszystkie- CVE-2026-57330Średnie
Podatność Cross Site Scripting (XSS) wtyczki MasterStudy LMS w wersji 3.7.27 i starszych umożliwia atakującemu o roli subskrybenta wstrzyknięcie złośliwego skryptu. Może to prowadzić do kradzieży sesji lub przekierowania użytkownika na niebezpieczną stronę.
- CVE-2026-42730Wysokie
W systemie zarządzania nauczaniem MasterStudy LMS występuje podatność na atak typu Blind SQL Injection, spowodowana niewłaściwą neutralizacją specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji od n/a do 3.7.29.
- CVE-2026-81342Niskie ryzyko· EPSS 3%
Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.43 nie weryfikuje parametru przekierowania podawanego podczas rejestracji użytkownika przed jego użyciem, co pozwala nieuwierzytelnionym atakującym na przekierowywanie użytkowników na dowolne zewnętrzne adresy URL.
- CVE-2026-81200Niskie ryzyko· EPSS 3%
Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.42 nieprawidłowo ogranicza dostęp do informacji o zamówieniach, co pozwala każdemu użytkownikowi z rolą instruktora na odczyt danych rozliczeniowych zamówień innych użytkowników, w tym imienia, adresu e-mail, numeru telefonu i adresu pocztowego, poprzez enumerację identyfikatorów zamówień.
- CVE-2026-81026Niskie ryzyko· EPSS 4%
Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.40 nie weryfikuje kwoty, odbiorcy, waluty ani statusu powiadomienia o płatności przed oznaczeniem odpowiedniego zamówienia jako ukończonego, co pozwala nieuwierzytelnionym użytkownikom na ukończenie zamówień o pełnej cenie i uzyskanie dostępu do płatnych treści, płacąc jedynie symboliczną kwotę.
- CVE-2026-78284Wysokie
Nieuwierzytelniona podatność arbitralnego usuwania plików w MasterStudy LMS w wersjach do 3.7.42.
- CVE-2026-73404Średnie
Wtyczka MasterStudy LMS w wersji 3.7.41 i starszych ma podatność na złamanie kontroli dostępu przez użytkownika z rolą Subscriber. Oznacza to, że subskrybent może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-68568Średnie
Podatność typu Privilege Escalation (eskalacja uprawnień) w wtyczce MasterStudy LMS w wersjach do 3.7.41. Atak wymaga uprawnień subskrybenta.
- CVE-2026-28145Średnie
Wtyczka MasterStudy LMS dla WordPressa (wersje do 3.7.39 włącznie) zawiera podatność polegającą na niewystarczającej weryfikacji autentyczności danych. Umożliwia ona manipulowanie stanem użytkownika.
- CVE-2026-40766Wysokie
W wersjach MasterStudy LMS do 3.7.25 występuje podatność na atak typu SQL Injection w module subskrybenta.
Oryginalny opis (angielski, źródło NVD)
The MasterStudy LMS WordPress Plugin – for Online Courses and Education plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.7.14. This is due to the `stm_lms_delete_cover()` function lacking ownership validation on the `file_id` parameter before passing it to `wp_delete_attachment()`. This makes it possible for authenticated attackers, with Instructor-level access and above, to delete arbitrary attachments belonging to any user by enumerating sequential attachment IDs.