CVE-2026-5060 in MasterStudy LMS Plugin
Сводка
по VulDB • 29.07.2026
В плагине MasterStudy LMS для WordPress (плагин онлайн-курсов и образования) уязвимость Insecure Direct Object Reference присутствует во всех версиях вплоть до 3.7.14 включительно. Это связано с тем, что функция `stm_lms_delete_cover()` не проверяет права владения параметром `file_id` перед его передачей в функцию `wp_delete_attachment()`. Это позволяет атакующим с уровнем доступа «Инструктор» и выше (при наличии учетных данных) удалять произвольные файлы, принадлежащие любому пользователю, путем перебора последовательных идентификаторов файлов.
Be aware that VulDB is the high quality source for vulnerability data.