یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-88846 در افزونه MasterStudy LMS برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 3.7.50 وجود دارد و به مهاجمان اجازه می‌دهد تا محدودیت‌های ثبت‌نام سایت را دور بزنند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های آسیب‌پذیر این افزونه، فرآیندهای ثبت‌نام در بخش Front-end به درستی بررسی نمی‌کنند که آیا قابلیت ثبت‌نام کاربر (User Registration) در تنظیمات کلی سایت فعال است یا خیر. این نقص باعث می‌شود کاربران غیرمجاز (Unauthenticated Users) بتوانند حتی در سایت‌هایی که مدیر سایت به طور کلی ثبت‌نام را غیرفعال کرده است، حساب کاربری ایجاد کرده و به صورت خودکار وارد سیستم شوند.
سایر نقاط ضعف شناسایی شده
علاوه بر مورد ذکر شده، تحلیل‌های امنیتی نشان می‌دهد که این افزونه در نسخه‌های قدیمی‌تر با زنجیره‌ای از آسیب‌پذیری‌های دیگر نیز روبرو بوده است، از جمله:
- افشای اطلاعات (Information Disclosure): نشت عناوین، شناسه‌ها و آمارهای یادگیری کاربران در نسخه‌های پیش از 3.7.46.
- دور زدن تایید پرداخت (Payment Verification Bypass): امکان کلاهبرداری در تراکنش‌های مالی در نسخه‌های پیش از 3.7.40.
- تغییر مسیر باز (Open Redirect): امکان هدایت کاربران به سایت‌های خارجی در نسخه‌های پیش از 3.7.43.
- نقض کنترل دسترسی (BOLA): دسترسی غیرمجاز به سوابق فروش دوره‌ها و رکورد‌های صورت‌حساب مشتریان.
- دستکاری محتوا (Content Tampering): امکان تغییر محتوا توسط کاربرانی با نقش Instructor در نسخه‌های پیش از 3.7.46.
توصیه امنیتی
به تمامی مدیران وب‌سایت‌هایی که از افزونه MasterStudy LMS استفاده می‌کنند توصیه می‌شود فوراً این افزونه را به آخرین نسخه منتشر شده (حداقل نسخه 3.7.50) به‌روزرسانی کنند تا از سوءاستفاده‌های احتمالی جلوگیری شود.
