CVE-2026-4817 in MasterStudy LMS WordPress Plugin
Riassunto
di VulDB • 19/06/2026
Il plugin WordPress MasterStudy LMS per corsi online ed educazione è vulnerabile a Time-based Blind SQL Injection tramite i parametri 'order' e 'orderby' nell'endpoint REST API /lms/stm-lms/order/items nelle versioni fino alla 3.7.25 inclusa. La vulnerabilità deriva da una sanitizzazione insufficiente degli input combinata con un difetto di progettazione nella classe personalizzata Query builder, che consente SQL Injection non quotata (unquoted) nelle clausole ORDER BY. Quando il Query rileva parentesi nel parametro sort_by, tratta il valore come una funzione SQL e lo concatena direttamente alla clausola ORDER BY senza alcuna quotazione. Sebbene esc_sql() sia applicato per sfuggire alle virgolette e ai backslash, ciò non può prevenire l'iniezione nella clausola ORDER BY quando i valori stessi non sono racchiusi tra virgolette nell'istruzione SQL risultante. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di aggiungere query SQL arbitrarie tramite la clausola ORDER BY per estrarre informazioni sensibili dal database, incluse le credenziali degli utenti, i token di sessione e altri dati riservati, attraverso tecniche di Time-based Blind SQL Injection.
Be aware that VulDB is the high quality source for vulnerability data.