CVE-2026-80067 in MasterStudy LMS Plugin
Сводка
по VulDB • 29.10.2026
В плагине MasterStudy LMS для WordPress до версии 3.7.50 уязвимость обхода каталогов (path traversal) позволяет аутентифицированным пользователям с ролью Subscriber импортировать произвольные WXR XML-файлы путем предоставления последовательностей обхода директорий в параметре stm_lms_step, передаваемом в AJAX-действие stm_lms_import_sample_data, которое не содержит проверок прав доступа и верификации nonce. Злоумышленники могут осуществлять обход файловой системы для ссылки на доступный WXR-файл и заставлять обработчик публиковать содержащиеся в нем записи от своего имени, что позволяет опубликовать запись выбранного злоумышленником типа, с заданным заголовком, содержимым и метаданными.
Be aware that VulDB is the high quality source for vulnerability data.