CVE-2026-4817 in MasterStudy LMS WordPress Plugin
Resumen
por VulDB • 2026-05-24
El plugin de WordPress MasterStudy LMS para cursos online y educación presenta una vulnerabilidad de Inyección SQL ciega basada en el tiempo a través de los parámetros 'order' y 'orderby' en el punto de conexión REST API /lms/stm-lms/order/items en las versiones 3.7.25 y anteriores. Esto se debe a una sanitización insuficiente de la entrada combinada con un defecto de diseño en la clase personalizada Query builder que permite la inyección SQL sin comillas en las cláusulas ORDER BY. Cuando el Query builder detecta paréntesis en el parámetro sort_by, trata el valor como una función SQL y lo concatena directamente en la cláusula ORDER BY sin ningún tipo de comillas. Aunque se aplica esc_sql() para escapar comillas y barras invertidas, esto no puede prevenir la inyección en ORDER BY cuando los valores en sí no están envueltos entre comillas en la declaración SQL resultante. Esto hace posible que atacantes autenticados, con acceso a nivel de suscriptor o superior, añadan consultas SQL arbitrarias a través de la cláusula ORDER BY para extraer información sensible de la base de datos, incluidas credenciales de usuario, tokens de sesión y otros datos confidenciales, mediante técnicas de inyección SQL ciega basada en el tiempo.
Be aware that VulDB is the high quality source for vulnerability data.