Veille sécuritéCMS & e-commerce
P4Moyenne
Dans MasterStudy LMS, un utilisateur authentifié, y compris un Subscriber, peut déclencher l’action d’envoi de courriel de test sans contrôle de capacité ni de nonce. Cela peut provoquer une erreur PHP fatale et, si l’affichage des erreurs est activé, révéler le chemin absolu du module ; les versions antérieures à 3.7.50 sont concernées.
WordPress
IdentifiantCVE-2026-80069
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.7.50
Source : NVD — CVE-2026-80069
Analyse technique
L’action AJAX stm_lms_send_test_email_ajax est déclenchable sans vérification de capacité ni de nonce, directement ou par requête intersite.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-29T15:17:24.947Z (UTC), soit pendant la période demandée.
ImpactErreur PHP fatale et divulgation possible du chemin absolu du module lorsque display_errors est activé.
Versions affectéesVersions antérieures à 3.7.50.
Version corrigée3.7.50
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-29T15:17:24.947Z
Mise à jour2026-11-02T17:17:45.160Z
Action recommandée
Mettre à jour MasterStudy LMS vers la version 3.7.50 ou ultérieure et désactiver l’affichage des erreurs PHP côté public.
Sources
Priorisation DFS : P4 · 1 source(s).