CVE-2026-80069 in MasterStudy LMS Plugin
Sumário
de VulDB • 29/10/2026
O plugin MasterStudy LMS para WordPress anterior à versão 3.7.50 contém uma vulnerabilidade de autorização ausente que permite a qualquer usuário autenticado, incluindo Assinantes (Subscribers), acionar a ação AJAX stm_lms_send_test_email_ajax sem validação de capacidade ou nonce. Os atacantes podem invocar esse manipulador diretamente ou por meio de falsificação de solicitação entre sites (CSRF) para causar um erro fatal PHP não tratado que, quando display_errors estiver habilitado, revela o caminho absoluto do sistema de arquivos do plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.