CVE-2026-80067 in MasterStudy LMS Plugin
الملخص
بحسب VulDB • 29/10/2026
يحتوي إضافة MasterStudy LMS لـ WordPress قبل الإصدار 3.7.50 على ثغرة تجوّل في المسار (Path Traversal) تتيح للمستخدمين المصادق عليهم ذوي مستوى المشترك (Subscriber-level) استيراد ملفات WXR XML تعسفية من خلال توفير تسلسلات تجوّل في الدليل ضمن المعلمة `stm_lms_step` المُمرَّرة إلى إجراء AJAX الخاص بـ `stm_lms_import_sample_data`، والذي يفتقر إلى فحوصات الصلاحيات والتحقق من الـ nonce. يمكن للمهاجمين التجوّل عبر نظام الملفات للإشارة إلى ملف WXR قابل للوصول وجعل المعالج نشر المنشورات الموجودة فيه تحت هويتهم، مما يمكّن من نشر نوع منشور وعنوان ومحتوى وبيانات تعريفية (metadata) يختارها المهاجم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.