CVE-2026-73996

Wtyczka Masteriyo - LMS w wersji 2.3.1 i starszych zawiera podatność na Insecure Direct Object References (IDOR) z poziomu subskrybenta. Subskrybent może uzyskać dostęp do zasobów innych użytkowników.

Wtyczka Masteriyo - LMS w wersji 2.3.0 i starszych zawiera podatność na atak XSS (Cross Site Scripting) z poziomu subskrybenta. Subskrybent może wstrzyknąć złośliwy skrypt.

Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.1 nieprawidłowo weryfikuje autoryzację w nieuwierzytelnionej akcji AJAX używanej do czyszczenia sesji użytkowników, co pozwala nieuwierzytelnionym atakującym zakończyć aktywne sesje (wymusić wylogowanie) dowolnego użytkownika na stronie, w tym administratorów.

Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność Broken Access Control. Użytkownik z rolą Subscriber może wykonać akcje wykraczające poza przysługujące mu uprawnienia.

Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność PHP Object Injection dostępną dla nieuwierzytelnionych użytkowników. Atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do dalszych ataków, takich jak zdalne wykonanie kodu.

Wtyczka Masteriyo LMS dla WordPressa przed wersją 3.4.0 nie przeprowadza żadnej kontroli autoryzacji przed zwróceniem rekordu zapisu na kurs przez swoje REST API, co pozwala nieuwierzytelnionym użytkownikom na odczytanie statusu zapisu, znaczników czasu i danych postępu kursu dowolnego ucznia poprzez iterację po sekwencyjnych identyfikatorach rekordów. Powiązana luka pozwala każdemu zapisanemu użytkownikowi na pobranie rekordów zapisów innych uczniów.

Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.0 włącznie jest podatna na nieautoryzowane usuwanie danych z powodu braku sprawdzenia uprawnień w funkcji 'delete_item_permissions_check' w CourseProgressItemsController. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych rekordów postępu kursu należących do studentów.

Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.3 nie sanityzuje i nie escapuje pola quizu przed wyświetleniem go na stronie, a rola instruktora ma możliwość przechowywania niesfiltrowanego HTML, co pozwala takim użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu stronę, w tym administratorom. Dotyczy to standardowych instalacji jednoserwisowych; instalacje multisite lub z zdefiniowaną stałą DISALLOW_UNFILTERED_HTML nie są dotknięte.

Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.1 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie studenta lub wyższym mogą modyfikować treść ogłoszeń kursów utworzonych przez instruktorów lub administratorów.

Wersje Masteriyo - LMS do 2.1.8 zawierają lukę w uwierzytelnianiu, która pozwala na nieautoryzowany dostęp.