CVE-2026-5167 in LMS Plugin
الملخص
بحسب VulDB • 05/06/2026
يحتوي مكون WordPress Masteriyo LMS – Online Course Builder for eLearning, LMS & Education على ثغرة من نوع Authorization Bypass Through User-Controlled Key في الإصدارات حتى 2.1.7 وشاملةً لها. وتعود هذه الثغرة إلى عدم كفاية التحقق من توقيع الـ webhook في الدالة handle_webhook(). يعالج نقطة نهاية الـ webhook الطلبات غير المصادق عليها ويقوم بالتحقق من التوقيع فقط إذا كان إعداد webhook_secret مُعدّاً وَوجود رأس HTTP_STRIPE_SIGNATURE. ونظراً لأن القيمة الافتراضية لـ webhook_secret هي سلسلة فارغة، فإن الـ webhook يعالج حمولات JSON التي يتحكم فيها المهاجم دون أي تحقق. وهذا يتيح للمهاجمين غير المصادق عليهم إرسال أحداث webhook مزيفة من Stripe بقيم order_id تعسفية في البيانات الوصفية، ووضع أي طلب كـ "مكتمل" دون دفع، والحصول على وصول غير مصرح به إلى محتوى الدورات المدفوعة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.