Плагин MasterStudy LMS WordPress Плагин WordPress до версии 3.7.46 не проверяет должным образом авторизацию при получении данных о позициях заказа, позволяя любому аутентифицированному пользователю, включая подписчиков, читать записи о продажах курсов других преподавателей, предоставляя идентификатор другого пользователя.
Показать оригинальное описание (EN)
The MasterStudy LMS WordPress Plugin WordPress plugin before 3.7.46 does not properly verify authorization when retrieving order line-item data, allowing any authenticated user including Subscribers to read other instructors' course sales records by supplying another user's identifier.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:masterstudy lms wordpress plugin