Veille sécuritéCMS & e-commerce
P4Moyenne
Dans MasterStudy LMS, un utilisateur authentifié de niveau Subscriber peut exploiter un défaut de traversée de répertoires pour importer un fichier WXR accessible et publier les contenus qu’il contient. Les versions antérieures à 3.7.50 sont affectées ; mettre à jour vers la version 3.7.50 ou ultérieure.
WordPress
IdentifiantCVE-2026-80067
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.7.50
Source : NVD — CVE-2026-80067
Analyse technique
La séquence de traversée est transmise au paramètre stm_lms_step de l’action AJAX stm_lms_import_sample_data, sans vérification de capacité ni de nonce.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-29T15:17:24.380Z (UTC), soit pendant la période demandée.
ImpactUn utilisateur authentifié peut publier des contenus issus d’un fichier WXR accessible, sous son identité.
Versions affectéesVersions antérieures à 3.7.50.
Version corrigée3.7.50
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-29T15:17:24.380Z
Mise à jour2026-10-29T17:18:10.653Z
Action recommandée
Mettre à jour MasterStudy LMS vers la version 3.7.50 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).