Plataforma
wordpress
Componente
learning-management-system
Corrigido em
2.1.7
A vulnerabilidade CVE-2026-4484 no plugin Masteriyo LMS para WordPress permite a escalada de privilégios. Esta falha, com um CVSS de 9.8, afeta todas as versões até a 2.1.6. A exploração da vulnerabilidade permite que usuários com acesso de estudante elevem seus privilégios para administrador. A versão 2.1.7 do plugin corrige essa falha, portanto, a atualização é recomendada.
O plugin Masteriyo LMS para WordPress apresenta uma vulnerabilidade de escalada de privilégios. Versões até a 2.1.6 são suscetíveis. Um atacante autenticado com acesso de Aluno ou superior pode explorar esta falha para elevar seus privilégios aos de um administrador. Isso permite que o atacante controle totalmente o site, modifique o conteúdo, instale plugins, exclua dados e execute qualquer ação que um administrador possa fazer. A gravidade da vulnerabilidade é alta (CVSS 8.8) devido ao impacto potencial na segurança e à facilidade relativa de exploração. A falta de controles adequados na função 'InstructorsController::prepareobjectfor_database' permite essa manipulação de papéis de usuário, comprometendo a integridade do site e a confidencialidade dos dados.
Um atacante com um papel de Aluno ou superior em um site que utiliza Masteriyo LMS até a versão 2.1.6 pode explorar esta vulnerabilidade. O atacante poderia manipular a função 'InstructorsController::prepareobjectfor_database' para alterar seu próprio papel para Administrador. Isso poderia ser alcançado por meio da injeção de código malicioso ou da manipulação de parâmetros de solicitação. Uma vez que o atacante tenha acesso de administrador, ele pode executar qualquer ação no site, incluindo a instalação de malware, o roubo de dados e a modificação do conteúdo.
Status do Exploit
EPSS
0.05% (percentil 16%)
CISA SSVC
Vetor CVSS
A solução recomendada é atualizar imediatamente o plugin Masteriyo LMS para a versão 2.1.7 ou posterior. Esta versão inclui uma correção para a vulnerabilidade de escalada de privilégios. Além disso, revise os papéis de usuário existentes no site para identificar e revogar quaisquer privilégios suspeitos. Implementar uma política de senhas robusta e habilitar a autenticação de dois fatores (2FA) para todos os usuários, especialmente aqueles com papéis de administrador, pode ajudar a mitigar o risco de exploração. Monitorar os registros do site em busca de atividades incomuns também é uma boa prática de segurança.
Atualize para a versão 2.1.7, ou uma versão corrigida mais recente
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Significa que um usuário com permissões limitadas pode obter acesso a funções ou dados que normalmente não deveria ter.
Como medida temporária, limite o acesso de usuários com papéis de Aluno às funções críticas do site. Revise regularmente os papéis de usuário para detectar alterações não autorizadas.
Procure atividades incomuns nos registros do site, como logins suspeitos ou alterações inesperadas no conteúdo. Use um scanner de segurança para procurar malware.
Existem scanners de vulnerabilidades do WordPress que podem detectar esta vulnerabilidade. Você também pode revisar manualmente o código do plugin em busca da função 'InstructorsController::prepareobjectfor_database'.
Você pode encontrar mais informações sobre esta vulnerabilidade no banco de dados de vulnerabilidades CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-4484
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.