CVE-2026-82849
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie weryfikuje, czy użytkownik wysyłający żądanie jest właścicielem zwracanych rekordów postępu kursu. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. samodzielnie zarejestrowanemu subskrybentowi, odczytanie aktywności edukacyjnej innego użytkownika. Stosowana kontrola własności jest pomijana, gdy żądane konto nie jest nazwane niezerową wartością, w którym to przypadku zwracane są jednocześnie rekordy wszystkich uczniów na stronie.
Ocena ryzyka
Nieautoryzowany dostęp do danych o postępach innych użytkowników może naruszać prywatność i prowadzić do wycieku informacji o aktywności edukacyjnej.
Rekomendacja
Zaktualizuj wtyczkę Masteriyo LMS do wersji 3.4.2 lub nowszej.
Inne podatności w Masteriyo LMS WordPress Plugin
Zobacz wszystkie- CVE-2026-82845Krytyczne
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie zapobiega deserializacji wartości dostarczonych przez użytkownika przechowywanych jako metadane, gdy są one odczytywane. Umożliwia to użytkownikom z minimalnym kontem wstrzyknięcie dowolnych obiektów PHP i, poprzez klasę z biblioteki dołączonej do wtyczki, zapis i wykonanie dowolnego kodu na serwerze. Słabsza forma tego problemu jest osiągalna bez konta i prowadzi do zapisu dowolnego pliku, a nie wykonania kodu.
- CVE-2026-82850Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie ogranicza dostępu do kluczy odpowiedzi quizów. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. studentowi, pobranie poprawnych odpowiedzi do dowolnego quizu na stronie, w tym quizów w kursach, na które nie jest zapisany. Ukrywanie odpowiedzi stosowane jest tylko do stałej listy typów pytań, więc odpowiedzi do wszystkich pozostałych typów są zwracane w całości każdemu, kto może wyświetlić pytania.
- CVE-2026-82851Niskie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie weryfikuje własności ani nie ogranicza typu rekordów, które użytkownik żąda do pobrania. Umożliwia to użytkownikom z rolą instruktora pobranie pełnej treści i metadanych dowolnych wpisów, w tym prywatnych i roboczych kursów innych instruktorów.
- CVE-2026-82847Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie sanityzuje ani nie escapuje jednego z pól kursu przed wyświetleniem go w edytorze kursu. Umożliwia to użytkownikom z rolą instruktora przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach, takim jak administratorzy.
- CVE-2026-82846Średnie
Wtyczka WordPress Masteriyo LMS przed wersją 3.4.0 nie sanityzuje i nie escapuje niektórych ustawień kursu przed ich wyświetleniem na stronie dostępnej dla wszystkich odwiedzających, co pozwala użytkownikom z rolą autora kursu na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji każdego przeglądającego kurs, w tym zalogowanego administratora.
- CVE-2026-10824Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersjach przed 2.2.1 nie przeprowadza kontroli autoryzacji w kontrolerze API REST dotyczącego postępu kursu, co pozwala nieautoryzowanym użytkownikom na odczyt i trwałe usunięcie zapisów postępu kursu dowolnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Masteriyo LMS WordPress plugin before 3.4.2 does not verify that the user making the request owns the course-progress records being returned, allowing any authenticated user, such as a self-registered subscriber, to read another user's learning activity. The ownership check it applies is skipped whenever the requested account is not named with a non-zero value, in which case the records of every learner on the site are returned at once.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS