CVE-2026-82845
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.4%
- CWE
- CWE-502
- KEV Durumu
- Hayır
Yayım tarihi: 12 Eylül 2026
Masteriyo LMS WordPress eklentisinin 3.4.1 önceki sürümlerinde, kullanıcı tarafından sağlanan değerlerin meta veri olarak tutulduktan sonra okunduklarında seri hale getirilmemesine engel olunmuyor, bu da minimal bir hesap sahibi kullanıcıların keyfi PHP nesnelerini enjekte etmelerine ve Masteriyo LMS WordPress eklentisiyle birlikte gelen bir kütüphanede gönderilen bir sınıf yoluyla sunucuda keyfi kod yazıp çalıştırmalarına olanak tanıyor. Aynı sorunun daha zayıf bir şekli, hesap gerektirmeksizin erişilebiliyor ve kod çalıştırma yerine keyfi dosya yazma sonucunu doğuruyor.
Orijinal açıklama (İngilizce)
The Masteriyo LMS WordPress plugin before 3.4.1 does not prevent user-supplied values held as metadata from being deserialized when they are read back, allowing users with a minimal account to inject arbitrary PHP objects and, by way of a class shipped in a library bundled with the Masteriyo LMS WordPress plugin before 3.4.1, write and execute arbitrary code on the server. A weaker form of the same issue is reachable without an account and yields an arbitrary file write rather than code execution.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.