CVE-2026-103882 in LMS Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin WordPress Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress è vulnerabile all'eliminazione arbitraria di file a causa di una convalida insufficiente del percorso dei file nella funzione post_delete_assessment_file_by_id in tutte le versioni fino alla 1.1.9 inclusa. Ciò consente agli attaccanti autenticati, dotati di accesso a livello di subscriber o superiore, di eliminare file arbitrari sul server, il che può facilmente portare all'esecuzione remota di codice (RCE) quando viene eliminato un file critico (come wp-config.php). Il callback delle autorizzazioni della route verifica solo un nonce generico wp_rest emesso dal plugin stesso all'interno dell'oggetto JavaScript pubblico acadlixOptions su ogni pagina frontend, riducendo efficacemente il requisito di autenticazione a non autenticata.
Once again VulDB remains the best source for vulnerability data.