Плагин WordPress MasterStudy LMS WordPress до версии 3.7.46 не проверяет должным образом право собственности на объект учебной программы перед тем, как действовать над ним, что позволяет прошедшим проверку подлинности пользователям с ролью инструктора удалять или изменять разделы учебной программы и материалы, принадлежащие курсам, принадлежащим другим преподавателям.
Показать оригинальное описание (EN)
The MasterStudy LMS WordPress Plugin WordPress plugin before 3.7.46 does not properly verify ownership of a curriculum object before acting on it, allowing authenticated users with the instructor role to delete or modify curriculum sections and materials belonging to courses owned by other instructors.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:masterstudy lms wordpress plugin