CVE-2026-82845
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie zapobiega deserializacji wartości dostarczonych przez użytkownika przechowywanych jako metadane, gdy są one odczytywane. Umożliwia to użytkownikom z minimalnym kontem wstrzyknięcie dowolnych obiektów PHP i, poprzez klasę z biblioteki dołączonej do wtyczki, zapis i wykonanie dowolnego kodu na serwerze. Słabsza forma tego problemu jest osiągalna bez konta i prowadzi do zapisu dowolnego pliku, a nie wykonania kodu.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu, lub zapisać dowolne pliki bez uwierzytelnienia.
Rekomendacja
Zaktualizuj wtyczkę Masteriyo LMS do wersji 3.4.1 lub nowszej.
Inne podatności w Masteriyo LMS WordPress plugin
Zobacz wszystkie- CVE-2026-82850Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie ogranicza dostępu do kluczy odpowiedzi quizów. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. studentowi, pobranie poprawnych odpowiedzi do dowolnego quizu na stronie, w tym quizów w kursach, na które nie jest zapisany. Ukrywanie odpowiedzi stosowane jest tylko do stałej listy typów pytań, więc odpowiedzi do wszystkich pozostałych typów są zwracane w całości każdemu, kto może wyświetlić pytania.
- CVE-2026-82849Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie weryfikuje, czy użytkownik wysyłający żądanie jest właścicielem zwracanych rekordów postępu kursu. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. samodzielnie zarejestrowanemu subskrybentowi, odczytanie aktywności edukacyjnej innego użytkownika. Stosowana kontrola własności jest pomijana, gdy żądane konto nie jest nazwane niezerową wartością, w którym to przypadku zwracane są jednocześnie rekordy wszystkich uczniów na stronie.
- CVE-2026-82851Niskie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie weryfikuje własności ani nie ogranicza typu rekordów, które użytkownik żąda do pobrania. Umożliwia to użytkownikom z rolą instruktora pobranie pełnej treści i metadanych dowolnych wpisów, w tym prywatnych i roboczych kursów innych instruktorów.
- CVE-2026-82847Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.1 nie sanityzuje ani nie escapuje jednego z pól kursu przed wyświetleniem go w edytorze kursu. Umożliwia to użytkownikom z rolą instruktora przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach, takim jak administratorzy.
- CVE-2026-82846Średnie
Wtyczka WordPress Masteriyo LMS przed wersją 3.4.0 nie sanityzuje i nie escapuje niektórych ustawień kursu przed ich wyświetleniem na stronie dostępnej dla wszystkich odwiedzających, co pozwala użytkownikom z rolą autora kursu na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji każdego przeglądającego kurs, w tym zalogowanego administratora.
- CVE-2026-10824Średnie
Wtyczka Masteriyo LMS dla WordPressa w wersjach przed 2.2.1 nie przeprowadza kontroli autoryzacji w kontrolerze API REST dotyczącego postępu kursu, co pozwala nieautoryzowanym użytkownikom na odczyt i trwałe usunięcie zapisów postępu kursu dowolnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Masteriyo LMS WordPress plugin before 3.4.1 does not prevent user-supplied values held as metadata from being deserialized when they are read back, allowing users with a minimal account to inject arbitrary PHP objects and, by way of a class shipped in a library bundled with the Masteriyo LMS WordPress plugin before 3.4.1, write and execute arbitrary code on the server. A weaker form of the same issue is reachable without an account and yields an arbitrary file write rather than code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS