→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-88849 · masterstudy-lms
آسیب‌پذیری عدم احراز هویت در ثبت‌نام دانشجویان در افزونه MasterStudy LMS
افزونه MasterStudy LMS در نسخه‌های ۳.۷.۵۵ و پیش‌تر، اعتبارسنجی مناسبی انجام نمی‌دهد تا بررسی کند آیا کاربر هدف در ویژگی ثبت‌نام دانشجویان ارتباطی با مدرس درخواست‌کننده دارد یا خیر. این نقص به کاربران با نقش «مدرس» اجازه می‌دهد تا نام کوچک، نام خانوادگی و نام نمایشی عمومی هر کاربر ثبت‌نام‌شده‌ای در سایت، از جمله مدیران را بازنویسی کنند که بهانه‌ای برای جعل هویت و حملات فیشینگ فراهم می‌سازد. از آنجایی که پچ رسمی هنوز منتشر نشده است، اکیداً توصیه می‌شود موقتاً افزونه را غیرفعال کرده یا از قوانین فایروال جهت مسدودسازی درخواست‌های مخرب استفاده کنید.
نسخه‌های تحت تأثیر
<= 3.7.55
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته masterstudy-lms را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.