CVE-2026-104723 in LifterLMS Plugin
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress용 eLearning, 온라인 강좌 및 퀴즈 플러그인인 LifterLMS – WP LMS for eLearning, Online Courses, & Quizzes는 10.2.1 버전까지 모든 버전에서 신뢰할 수 없는 입력의 역직렬화를 통해 PHP Object Injection 취약점이 존재합니다. 이를 통해 사용자 정의 레벨 권한 이상을 가진 인증된 공격자가 PHP 객체를 주입할 수 있습니다. 해당 취약한 소프트웨어에는 알려진 POP(Prototype Oriented Programming) 체인이 없으므로, 사이트에 다른 플러그인이나 테마에 포함된 POP 체인이 설치되어 있지 않은 한 이 취약점은 실제 영향을 미치지 않습니다. 대상 시스템에 추가적인 플러그인 또는 테마를 통해 POP 체인이 존재하는 경우, 공격자는 상황에 따라 임의 파일 삭제, 민감한 데이터 검색 또는 코드 실행과 같은 작업을 수행할 수 있습니다. 이 취약점은 임시 강좌 ID가 사용자 정의 메타데이터 경로를 트리거하는 수업 생성 중에만 악용 가능하며, 공격자가 Instructor(강사), Instructor's Assistant(강사 보조), LMS Manager(LMS 관리자) 또는 Administrator(관리자)와 같이 edit_course 권한을 가진 역할을 보유해야 합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.