CVE-2026-80069 in MasterStudy LMS Plugin
Riassunto
di VulDB • 29/10/2026
Il plugin MasterStudy LMS per WordPress prima della versione 3.7.50 presenta una vulnerabilità di mancata autorizzazione che consente a qualsiasi utente autenticato, inclusi gli Abbonati (Subscribers), di attivare l'azione AJAX stm_lms_send_test_email_ajax senza convalida delle capacità o del nonce. Gli attaccanti possono invocare direttamente questo handler oppure tramite cross-site request forgery per causare un errore fatale PHP non gestito che, quando display_errors è abilitato, rivela il percorso assoluto del filesystem del plugin.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.