CVE-2026-5060 in MasterStudy LMS Plugin
Résumé
par VulDB • 29/07/2026
Le plugin WordPress MasterStudy LMS – pour les cours en ligne et l'éducation est vulnérable à une référence directe d'objet non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 3.7.14 incluse. Cela est dû au fait que la fonction `stm_lms_delete_cover()` ne valide pas la propriété du paramètre `file_id` avant de le transmettre à `wp_delete_attachment()`. Il devient ainsi possible pour des attaquants authentifiés disposant d'un accès de niveau instructeur ou supérieur de supprimer n'importe quelle pièce jointe appartenant à n'importe quel utilisateur en énumérant les identifiants séquentiels des pièces jointes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.