CVE-2026-104915 in Academy LMS Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress The Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 4.0.3 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati con accesso di livello personalizzato o superiore di eliminare permanentemente i commenti alle lezioni del modulo Academy e le relative risposte, indipendentemente dall'utente autore (inclusi gli amministratori), nei corsi che non insegnano. La vulnerabilità è sfruttabile da qualsiasi utente registrato come istruttore per almeno un corso nel sistema Academy, poiché può fornire il proprio course_id per superare il controllo dell'istruttore mentre prende di mira i commenti appartenenti a corsi completamente diversi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.