→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-104050 · academy-lms
افشای غیرمجاز گزینه‌های پاسخ آزمون به دلیل نقص کنترل دسترسی در افزونه Academy LMS
افزونه Academy LMS در نسخه‌های قبل از ۴.۰.۰ پیش از بازگرداندن گزینه‌های پاسخ یک سؤال آزمون، بررسی نمی‌کند که آن سؤال متعلق به دوره‌ای باشد که کاربر درخواست‌کننده مجاز به دسترسی به آن است. در نتیجه هر کاربر احراز هویت‌شده با دسترسی به تنها یک دوره، مانند دانشجوی ثبت‌نام‌شده، می‌تواند گزینه‌های پاسخ سؤالات آزمون دوره‌هایی را بخواند که در آن‌ها ثبت‌نام نکرده است و بدین‌ترتیب محرمانگی محتوای آزمون‌ها نقض می‌شود. از آنجا که وصله امنیتی منتشر شده است، توصیه می‌شود افزونه در اسرع وقت به نسخه امن به‌روزرسانی شود.
نسخه‌های تحت تأثیر
<= 4.0.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته academy-lms را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.