یک آسیب‌پذیری امنیتی با شناسه CVE-2026-104915 در افزونه The Academy LMS (که قابلیت‌های ساخت دوره با هوش مصنوعی، آزمون‌ها و گواهینامه‌ها را ارائه می‌دهد) برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است.
جزئیات فنی
این نقص امنیتی از نوع Authorization Bypass (دور زدن احراز هویت) است و تمامی نسخه‌های این افزونه تا ورژن 4.0.3 را تحت تأثیر قرار می‌دهد. این مشکل به دلیل عدم بررسی صحیح مجوزهای کاربر برای انجام عملیات‌های خاص توسط افزونه رخ داده است.
تاثیرات و ریسک‌ها
به دلیل این نقص، مهاجمانی که دارای دسترسی‌های احراز شده (Authenticated) در سطح Custom-level و بالاتر هستند، قادر خواهند بود اقدامات زیر را انجام دهند:
- حذف دائمی نظرات مربوط به دروس (Lesson Comments)
- حذف پاسخ‌های ارسال شده به این نظرات
مهاجم می‌تواند نظرات هر کاربری، حتی مدیران سیستم (Administrators)، را در تمامی دوره‌های موجود در پلتفرم حذف کند.
