CVE-2026-81195
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie przeprowadza kontroli autoryzacji przed zwróceniem danych o zapisach i postępach w nauce poszczególnych uczniów. Umożliwia to nieuwierzytelnionym atakującym ujawnienie kursów, na które zapisany jest dowolny zarejestrowany użytkownik, oraz jego postępów w nauce.
Ocena ryzyka
Ryzyko polega na naruszeniu prywatności użytkowników – atakujący może poznać, jakie kursy ukończył lub na jakie jest zapisany konkretny użytkownik, co może być wykorzystane do profilowania lub szantażu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki MasterStudy LMS do wersji 3.7.46 lub nowszej, która zawiera poprawkę blokującą nieautoryzowany dostęp do danych o zapisach i postępach.
Inne podatności w MasterStudy LMS WordPress Plugin
Zobacz wszystkie- CVE-2026-81340Nieznane
Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.50 nie przeprowadza kontroli własności lub uprawnień per obiekt podczas aktualizacji zamówień przez REST API, co pozwala użytkownikom z rolą Instruktora na modyfikowanie dowolnych zamówień na stronie, umożliwiając darmowe zapisy na kursy, cofanie płatnych zapisów innych użytkowników oraz manipulowanie notatkami zamówień.
- CVE-2026-81194Średnie
Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie weryfikuje poprawnie autoryzacji podczas pobierania danych pozycji zamówienia. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, odczytanie rekordów sprzedaży kursów innych instruktorów poprzez podanie identyfikatora innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The MasterStudy LMS WordPress Plugin WordPress plugin before 3.7.46 does not perform an authorization check before returning per-student course enrollment and progress data, allowing unauthenticated attackers to disclose the enrolled courses and learning progress of any registered user.