CVE-2026-82846
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Masteriyo LMS przed wersją 3.4.0 nie sanityzuje i nie escapuje niektórych ustawień kursu przed ich wyświetleniem na stronie dostępnej dla wszystkich odwiedzających, co pozwala użytkownikom z rolą autora kursu na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji każdego przeglądającego kurs, w tym zalogowanego administratora.
Ocena ryzyka
Atakujący może przejąć sesję administratora lub innych użytkowników, co może prowadzić do pełnej kompromitacji witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę Masteriyo LMS do wersji 3.4.0 lub nowszej, która zawiera poprawki sanityzacji i escapowania.
Inne podatności w Masteriyo LMS WordPress plugin
Zobacz wszystkie- CVE-2026-82851Nieznane
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie weryfikuje własności ani nie ogranicza typu rekordów, które użytkownik żąda do pobrania. Umożliwia to użytkownikom z rolą instruktora pobranie pełnej treści i metadanych dowolnych wpisów, w tym prywatnych i roboczych kursów innych instruktorów.
- CVE-2026-82847Nieznane
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie sanityzuje ani nie escapuje jednego z pól kursu przed wyświetleniem go w edytorze kursu. Umożliwia to użytkownikom z rolą instruktora przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach, takim jak administratorzy.
- CVE-2026-82845Nieznane
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie zapobiega deserializacji wartości dostarczonych przez użytkownika przechowywanych jako metadane, gdy są one odczytywane. Umożliwia to użytkownikom z minimalnym kontem wstrzyknięcie dowolnych obiektów PHP i, poprzez klasę z biblioteki dołączonej do wtyczki, zapis i wykonanie dowolnego kodu na serwerze. Słabsza forma tego problemu jest osiągalna bez konta i prowadzi do zapisu dowolnego pliku, a nie wykonania kodu.
- CVE-2026-10824Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersjach przed 2.2.1 nie przeprowadza kontroli autoryzacji w kontrolerze API REST dotyczącego postępu kursu, co pozwala nieautoryzowanym użytkownikom na odczyt i trwałe usunięcie zapisów postępu kursu dowolnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Masteriyo LMS WordPress plugin before 3.4.0 does not sanitise and escape some course settings before outputting them in a page available to all visitors, allowing users with a course-author role to perform Stored Cross-Site Scripting attacks that run in the session of anyone viewing the course, including a logged-in administrator.