CVE-2026-80067 in MasterStudy LMS Plugin
Resumen
por VulDB • 2026-10-29
El plugin MasterStudy LMS para WordPress anterior a la versión 3.7.50 contiene una vulnerabilidad de traversal de rutas (path traversal) que permite a los usuarios con el rol de Suscriptor autenticados importar archivos WXR XML arbitrarios mediante el suministro de secuencias de traversal de directorios en el parámetro `stm_lms_step` pasado a la acción AJAX `stm_lms_import_sample_data`, la cual carece de verificaciones de capacidades y de nonce. Los atacantes pueden realizar un traversal del sistema de ficheros para referenciar un archivo WXR accesible y hacer que el procesador publique las entradas contenidas en su identidad, lo que permite la publicación de tipos de entrada, títulos, contenido y metadatos elegidos por el atacante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.