CVE-2026-5167
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika. Funkcja handle_webhook() nie weryfikuje poprawnie sygnatury webhooka, co pozwala nieuwierzytelnionym atakującym na wysyłanie fałszywych zdarzeń Stripe i oznaczanie dowolnych zamówień jako opłaconych bez płatności.
Ocena ryzyka
Atakujący mogą uzyskać nieautoryzowany dostęp do płatnych treści kursów, omijając proces płatności.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Masteriyo LMS do najnowszej dostępnej wersji.
Inne podatności w Masteriyo LMS
Zobacz wszystkie- CVE-2026-65463Średnie
Wtyczka Masteriyo - LMS w wersji 2.3.1 i starszych zawiera podatność na Insecure Direct Object References (IDOR) z poziomu subskrybenta. Subskrybent może uzyskać dostęp do zasobów innych użytkowników.
- CVE-2026-59513Średnie
Wtyczka Masteriyo - LMS w wersji 2.3.0 i starszych zawiera podatność na atak XSS (Cross Site Scripting) z poziomu subskrybenta. Subskrybent może wstrzyknąć złośliwy skrypt.
- CVE-2026-73996Krytyczne
Nieuwierzytelniona podatność Arbitrary File Upload w wtyczce Masteriyo - LMS w wersjach do 2.3.2. Atakujący bez logowania może przesłać dowolne pliki na serwer.
- CVE-2026-13332Krytyczne
Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.1 nieprawidłowo weryfikuje autoryzację w nieuwierzytelnionej akcji AJAX używanej do czyszczenia sesji użytkowników, co pozwala nieuwierzytelnionym atakującym zakończyć aktywne sesje (wymusić wylogowanie) dowolnego użytkownika na stronie, w tym administratorów.
- CVE-2026-62132Średnie
Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność Broken Access Control. Użytkownik z rolą Subscriber może wykonać akcje wykraczające poza przysługujące mu uprawnienia.
- CVE-2026-62107Wysokie
Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność PHP Object Injection dostępną dla nieuwierzytelnionych użytkowników. Atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do dalszych ataków, takich jak zdalne wykonanie kodu.
- CVE-2026-82848Średnie
Wtyczka Masteriyo LMS dla WordPressa przed wersją 3.4.0 nie przeprowadza żadnej kontroli autoryzacji przed zwróceniem rekordu zapisu na kurs przez swoje REST API, co pozwala nieuwierzytelnionym użytkownikom na odczytanie statusu zapisu, znaczników czasu i danych postępu kursu dowolnego ucznia poprzez iterację po sekwencyjnych identyfikatorach rekordów. Powiązana luka pozwala każdemu zapisanemu użytkownikowi na pobranie rekordów zapisów innych uczniów.
- CVE-2026-8279Średnie
Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.0 włącznie jest podatna na nieautoryzowane usuwanie danych z powodu braku sprawdzenia uprawnień w funkcji 'delete_item_permissions_check' w CourseProgressItemsController. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych rekordów postępu kursu należących do studentów.
- CVE-2026-19712Średnie
Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.3 nie sanityzuje i nie escapuje pola quizu przed wyświetleniem go na stronie, a rola instruktora ma możliwość przechowywania niesfiltrowanego HTML, co pozwala takim użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu stronę, w tym administratorom. Dotyczy to standardowych instalacji jednoserwisowych; instalacje multisite lub z zdefiniowaną stałą DISALLOW_UNFILTERED_HTML nie są dotknięte.
- CVE-2026-11773Średnie
Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.1 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie studenta lub wyższym mogą modyfikować treść ogłoszeń kursów utworzonych przez instruktorów lub administratorów.
Oryginalny opis (angielski, źródło NVD)
The Masteriyo LMS – Online Course Builder for eLearning, LMS & Education plugin for WordPress is vulnerable to Authorization Bypass Through User-Controlled Key in versions up to and including 2.1.7. This is due to insufficient webhook signature verification in the handle_webhook() function. The webhook endpoint processes unauthenticated requests and only performs signature verification if both the webhook_secret setting is configured AND the HTTP_STRIPE_SIGNATURE header is present. Since webhook_secret defaults to an empty string, the webhook processes attacker-controlled JSON payloads without any verification. This makes it possible for unauthenticated attackers to send fake Stripe webhook events with arbitrary order_id values in the metadata, mark any order as completed without payment, and gain unauthorized access to paid course content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS