CVE-2026-82847

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie zapobiega deserializacji wartości dostarczonych przez użytkownika przechowywanych jako metadane, gdy są one odczytywane. Umożliwia to użytkownikom z minimalnym kontem wstrzyknięcie dowolnych obiektów PHP i, poprzez klasę z biblioteki dołączonej do wtyczki, zapis i wykonanie dowolnego kodu na serwerze. Słabsza forma tego problemu jest osiągalna bez konta i prowadzi do zapisu dowolnego pliku, a nie wykonania kodu.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie ogranicza dostępu do kluczy odpowiedzi quizów. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. studentowi, pobranie poprawnych odpowiedzi do dowolnego quizu na stronie, w tym quizów w kursach, na które nie jest zapisany. Ukrywanie odpowiedzi stosowane jest tylko do stałej listy typów pytań, więc odpowiedzi do wszystkich pozostałych typów są zwracane w całości każdemu, kto może wyświetlić pytania.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie weryfikuje, czy użytkownik wysyłający żądanie jest właścicielem zwracanych rekordów postępu kursu. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. samodzielnie zarejestrowanemu subskrybentowi, odczytanie aktywności edukacyjnej innego użytkownika. Stosowana kontrola własności jest pomijana, gdy żądane konto nie jest nazwane niezerową wartością, w którym to przypadku zwracane są jednocześnie rekordy wszystkich uczniów na stronie.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie weryfikuje własności ani nie ogranicza typu rekordów, które użytkownik żąda do pobrania. Umożliwia to użytkownikom z rolą instruktora pobranie pełnej treści i metadanych dowolnych wpisów, w tym prywatnych i roboczych kursów innych instruktorów.

Wtyczka WordPress Masteriyo LMS przed wersją 3.4.0 nie sanityzuje i nie escapuje niektórych ustawień kursu przed ich wyświetleniem na stronie dostępnej dla wszystkich odwiedzających, co pozwala użytkownikom z rolą autora kursu na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji każdego przeglądającego kurs, w tym zalogowanego administratora.

Wtyczka Masteriyo LMS dla WordPressa w wersjach przed 2.2.1 nie przeprowadza kontroli autoryzacji w kontrolerze API REST dotyczącego postępu kursu, co pozwala nieautoryzowanym użytkownikom na odczyt i trwałe usunięcie zapisów postępu kursu dowolnego użytkownika.