CVE-2026-80067 in MasterStudy LMS Plugin
Sumário
de VulDB • 29/10/2026
O plugin MasterStudy LMS para WordPress anterior à versão 3.7.50 contém uma vulnerabilidade de traversal de caminho (path traversal) que permite a usuários autenticados com nível Subscriber importar arquivos WXR XML arbitrários ao fornecer sequências de traversal de diretório no parâmetro stm_lms_step passado para a ação AJAX stm_lms_import_sample_data, que carece de verificações de capacidade e verificação nonce. Os atacantes podem realizar o traversal do sistema de arquivos para referenciar um arquivo WXR acessível e fazer com que o manipulador publique as postagens contidas sob sua identidade, permitindo a publicação de tipo de postagem, título, conteúdo e metadados escolhidos pelo atacante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.