CVE-2026-5348

Wtyczka Academy LMS dla WordPressa do 3.8.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcjach AJAX 'save_lesson_note', 'get_lesson_note' i 'complete_lesson_video'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym odczyt, nadpisanie lub usunięcie prywatnych notatek lekcji innych użytkowników, w tym administratorów, oraz fałszowanie postępu ukończenia lekcji dla dowolnych użytkowników.

Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą trwale usuwać dowolne komentarze lekcji Academy i ich odpowiedzi, napisane przez dowolnego użytkownika, w tym administratorów, w kursach, których nie prowadzą. Luka jest wykorzystywalna przez każdego użytkownika zarejestrowanego jako instruktor Academy dla co najmniej jednego kursu, ponieważ mogą podać własne course_id, aby przejść kontrolę instruktora, celując w komentarze należące do zupełnie innych kursów.

Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na eskalację uprawnień. Funkcja `add_child()` nadaje rolę `academy_student` każdemu istniejącemu kontu na podstawie parametru `email` przed walidacją relacji opiekun-podopieczny, a gdy walidacja zwróci błąd, nie cofa nadania roli. Umożliwia to uwierzytelnionym atakującym z rolą `academy_guardian` lub wyższą podniesienie uprawnień dowolnego konta, w tym własnego, do roli `academy_student`, zyskując możliwość edycji postów (jak Contributor) i, przy włączonym ustawieniu przesyłania plików, przesyłania plików (jak Author).

Wtyczka Academy LMS dla WordPressa do wersji 3.8.2 nie ogranicza dostępu do rekordów prób quizów do ich właściciela. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie subskrybenta i wyższym (zapisanemu na dowolny kurs) na odczytanie prób quizów wszystkich użytkowników w całej witrynie, w tym danych osobowych takich jak adresy IP, nazwiska, daty rejestracji i wyniki quizów.

Wtyczka Academy LMS do wersji 3.4.0 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.

Wtyczka Academy LMS – WordPress LMS Plugin for Complete eLearning Solution do wersji 3.3.8 jest podatna na ujawnienie wrażliwych informacji przez funkcję 'enqueue_social_login_script'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane, w tym sekret aplikacji Facebook, jeśli włączone jest logowanie przez Facebook.

W Akademii LMS w wersji 6.0 zidentyfikowano podatność, która prowadzi do ataków typu cross site scripting. Problem dotyczy nieznanego kodu w pliku /academy/home/courses, a manipulacja argumentem query/sort_by umożliwia przeprowadzenie ataku zdalnego.