Veille sécuritéCMS & e-commerce
P4Faible
Dans MasterStudy LMS, un utilisateur ayant le rôle Instructor peut modifier les prénom, nom et nom d’affichage de n’importe quel compte, y compris celui d’un administrateur, via la fonction d’inscription des étudiants. L’absence de vérification du lien entre l’instructeur et le compte ciblé expose les versions antérieures à 3.7.55 à des risques d’usurpation d’identité et d’hameçonnage.
WordPress
IdentifiantCVE-2026-88849
GravitéFaible
Exploitationnon connue / non déterminée
Correctif3.7.55
Source : NVD — CVE-2026-88849
Analyse technique
La fonction d’inscription des étudiants ne vérifie pas que le compte ciblé est associé à l’instructeur demandeur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-22 à 06:17:15Z, soit pendant la période demandée.
ImpactUn instructeur peut modifier les noms affichés d’autres utilisateurs, y compris d’administrateurs, ce qui peut faciliter l’usurpation d’identité et l’hameçonnage.
Versions affectéesMasterStudy LMS antérieur à 3.7.55.
Version corrigée3.7.55
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.7
EPSS0,13% · percentile 2,5%
Publication2026-10-22T08:17:15.597+02:00
Mise à jour2026-10-22T17:16:14.027+02:00
Action recommandée
Mettre à jour MasterStudy LMS vers la version 3.7.55 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).