CVE-2026-80069 in MasterStudy LMS Plugin
Tóm tắt
Bởi VulDB • 29/10/2026
Plugin MasterStudy LMS cho WordPress trước phiên bản 3.7.50 chứa một lỗ hổng thiếu xác thực (missing authorization) cho phép bất kỳ người dùng đã đăng nhập nào, bao gồm cả Subscribers, kích hoạt hành động AJAX stm_lms_send_test_email_ajax mà không có kiểm tra quyền hoặc nonce. Kẻ tấn công có thể gọi trực tiếp trình xử lý này hoặc thông qua lừa đảo yêu cầu trang web ngang miền (CSRF) để gây ra lỗi PHP nghiêm trọng chưa được bắt giữ; khi display_errors được bật, điều này sẽ tiết lộ đường dẫn tuyệt đối của hệ thống tệp tin cho plugin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.