CVE-2026-5060 in MasterStudy LMS Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin WordPress MasterStudy LMS – per corsi online e istruzione è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 3.7.14 inclusa. Ciò è dovuto alla funzione `stm_lms_delete_cover()` che non effettua una convalida della proprietà sul parametro `file_id` prima di passarlo a `wp_delete_attachment()`. Questo consente agli attaccanti autenticati, con accesso a livello Instructor o superiore, di eliminare allegati arbitrari appartenenti a qualsiasi utente enumerando gli ID degli allegati in sequenza.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.