CVE-2026-81026

Podatność Cross Site Scripting (XSS) wtyczki MasterStudy LMS w wersji 3.7.27 i starszych umożliwia atakującemu o roli subskrybenta wstrzyknięcie złośliwego skryptu. Może to prowadzić do kradzieży sesji lub przekierowania użytkownika na niebezpieczną stronę.

W systemie zarządzania nauczaniem MasterStudy LMS występuje podatność na atak typu Blind SQL Injection, spowodowana niewłaściwą neutralizacją specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji od n/a do 3.7.29.

Podatność na trwały XSS w pluginie MasterStudy LMS (wersje do 3.7.52) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy użytkownik jest zapisany na kurs, przed zarejestrowaniem ukończenia lekcji. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na tworzenie rekordów postępu kursu dla kursów, do których nie ma dostępu.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.50 nie przeprowadza kontroli własności obiektu przy zwracaniu wyniku próby quizu, co pozwala każdemu uwierzytelnionemu użytkownikowi z minimalną rolą subskrybenta na odczyt ocen, statusów zaliczenia i znaczników czasu prób innych uczniów, odwołując się do identyfikatora próby należącego do innego użytkownika.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.50 nie odpowiednio sanityzuje i ogranicza HTML w treści wprowadzanej przez użytkowników przed jej zapisaniem i wyświetleniem innym użytkownikom, co pozwala użytkownikom z rolą subskrybenta i wyższą na przeprowadzenie ataku polegającego na wstrzyknięciu trwałego HTML, takiego jak osadzanie iframe, które może być wykorzystane do phishingu i fałszowania treści wobec innych użytkowników.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy żądający użytkownik jest właścicielem kursu, przed zwróceniem danych zapisanych studentów. Umożliwia to użytkownikom z rolą Instructor ujawnienie imion i adresów e-mail studentów zapisanych na kursy innych instruktorów.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie przeprowadza kontroli autoryzacji przed zwróceniem statystyk nauki studenta, co pozwala nieuwierzytelnionym atakującym na ujawnienie liczby kursów, punktów, certyfikatów, sum quizów i zadań dowolnego zarejestrowanego użytkownika.

Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.46 nieprawidłowo weryfikuje własność obiektu programu nauczania przed działaniem na nim, co pozwala uwierzytelnionym użytkownikom z rolą instruktora usuwać lub modyfikować sekcje i materiały programu nauczania należące do kursów innych instruktorów.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie ogranicza dostępu do trasy REST, która wyświetla listę kursów autora, ani nie filtruje tej listy pod względem statusu publikacji, co pozwala nieuwierzytelnionym użytkownikom na odczyt tytułów i identyfikatorów nieopublikowanych (szkiców, oczekujących i prywatnych) kursów.