CVE-2026-81340
NieznaneStreszczenie
Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.50 nie przeprowadza kontroli własności lub uprawnień per obiekt podczas aktualizacji zamówień przez REST API, co pozwala użytkownikom z rolą Instruktora na modyfikowanie dowolnych zamówień na stronie, umożliwiając darmowe zapisy na kursy, cofanie płatnych zapisów innych użytkowników oraz manipulowanie notatkami zamówień.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych zamówień, możliwość nieautoryzowanych zapisów na kursy oraz utratę przychodów z płatnych kursów.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 3.7.50 lub nowszej oraz przegląd uprawnień roli Instruktora.
Inne podatności w MasterStudy LMS WordPress Plugin
Zobacz wszystkie- CVE-2026-81195Średnie
Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie przeprowadza kontroli autoryzacji przed zwróceniem danych o zapisach i postępach w nauce poszczególnych uczniów. Umożliwia to nieuwierzytelnionym atakującym ujawnienie kursów, na które zapisany jest dowolny zarejestrowany użytkownik, oraz jego postępów w nauce.
- CVE-2026-81194Średnie
Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie weryfikuje poprawnie autoryzacji podczas pobierania danych pozycji zamówienia. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, odczytanie rekordów sprzedaży kursów innych instruktorów poprzez podanie identyfikatora innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The MasterStudy LMS WordPress Plugin WordPress plugin before 3.7.50 does not perform per-object ownership or capability checks when updating orders through its REST API, allowing users with the Instructor role to modify any order on the site, granting free course enrolment, revoking other users' paid enrolments, and tampering with order notes.