CVE-2026-103882 in LMS Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WordPress-Plugin „Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress“ ist in allen Versionen bis einschließlich 1.1.9 aufgrund einer unzureichenden Validierung des Dateipfads in der Funktion `post_delete_assessment_file_by_id` anfällig für willkürliches Löschen von Dateien (arbitrary file deletion). Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Ebene und höher, beliebige Dateien auf dem Server zu löschen, was leicht zur Remote Code Execution führen kann, wenn die richtige Datei gelöscht wird (z. B. wp-config.php). Der Permission-Callback der Route überprüft lediglich einen generischen `wp_rest` Nonce, den das Plugin selbst im öffentlichen JavaScript-Objekt `acadlixOptions` auf jeder Frontend-Seite ausgibt, wodurch die Authentifizierungsanforderung effektiv auf nicht authentifiziert reduziert wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.