CVE-2026-80069 in MasterStudy LMS Plugin
要約
〜によって VulDB • 2026年10月29日
WordPress用プラグイン「MasterStudy LMS」の3.7.50以前のバージョンには、認証欠如（missing authorization）の脆弱性があります。これにより、サブスクライバーを含むすべての認証済みユーザーが、権限やnonce検証を行わずにstm_lms_send_test_email_ajax AJAXアクションを実行できます。攻撃者はこのハンドラを直接呼び出すか、クロスサイトリクエストフォージェリ（CSRF）を通じて呼び出し、捕捉されないPHPの致命的なエラーを引き起こすことができます。display_errorsが有効になっている場合、これによりプラグインの絶対ファイルシステムパスが漏洩します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.