CVE-2026-80069

CVSS 4.3 MEDIUM Truy cập trái phép Lộ dữ liệu

MasterStudy LMS WordPress Plugin < 3.7.50 Missing Authorization via stm_lms_send_test_email_ajax

Công bố: 2026-10-29
Cập nhật: 2026-10-29
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

MasterStudy LMS plugin for WordPress before 3.7.50 contains a missing authorization vulnerability that allows any authenticated user, including Subscribers, to trigger the stm_lms_send_test_email_ajax AJAX action without capability or nonce validation. Attackers can invoke this handler directly or via cross-site request forgery to cause an uncaught PHP fatal error that, when display_errors is enabled, discloses the absolute filesystem path of the plugin.

Điểm và phân loại

CVSS: 4.3 MEDIUM v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): MEDIUM
EPSS: —
CWE: CWE-22

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Ảnh hưởng

Sản phẩm

Stylemix MasterStudy LMS WordPress Plugin

Vì sao bị lọc

CVSS 4.3 < 8.0 và không thuộc CISA KEV

Loại tác động

Truy cập trái phép: từ khoá "missing authorization"
Lộ dữ liệu: CWE-22

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: VulnCheck
CVE.org · SSVC: Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: partial