افزونه Sensei LMS برای سیستم مدیریت محتوا (WordPress) در نسخه‌های پیش از 4.26.4، دارای یک آسیب‌پذیری از نوع Broken Access Control (کنترل دسترسی ناقص) است. این نقص امنیتی در هندلر قدیمی save_new_message که به اکشن init متصل شده است، شناسایی شده است.
در این آسیب‌پذیری، سیستم تنها یک nonce عمومی را اعتبارسنجی می‌کند و از بررسی وضعیت ثبت‌نام کاربر در دوره (course enrollment) یا محدود کردن post_id به انواع پست‌های معتبر خودداری می‌کند. این موضوع به مهاجمان احراز هویت شده، حتی کاربران با سطح دسترسی بسیار پایین مانند Subscribers، اجازه می‌دهد تا با ارسال یک post_id دلخواه برای هر دوره، درس یا آزمون، یک پیام خصوصی به نویسنده آن پست ارسال کنند. از این طریق، مهاجم می‌تواند محدودیت‌های مربوط به ثبت‌نام در دوره‌ها را به‌طور کامل دور بزند.
