یک آسیب‌پذیری امنیتی با شناسه CVE-2026-82850 در افزونه مدیریت یادگیری (LMS) Masteriyo برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی که در نسخه‌های پیش از 3.4.2 وجود دارد، به دلیل عدم محدودسازی دسترسی به کلیدهای پاسخ آزمون‌ها (Quiz Answer Keys) رخ داده است.
جزئیات فنی آسیب‌پذیری
در این افزونه، فرآیند حذف یا پنهان‌سازی (Redaction) پاسخ‌ها تنها برای لیستی محدود از انواع سوالات اعمال می‌شود. در نتیجه، هر کاربر احراز هویت شده (Authenticated User)، حتی کاربرانی با سطح دسترسی پایین مانند «دانشجو»، می‌توانند پاسخ‌های صحیح تمامی آزمون‌های سایت را استخراج کنند. این موضوع شامل آزمون‌هایی است که کاربر حتی در دوره‌های مربوط به آن‌ها ثبت‌نام نکرده است.
تحلیل ریسک و اثرات
- سطح دسترسی مورد نیاز: کاربر با سطح دسترسی پایین (Low-privileged account).
- امتیاز CVSS: 4.3 (Medium).
- نوع نقص: نقص در کنترل دسترسی (Broken Access Control) و افشای اطلاعات (Information Exposure – CWE-200).
اگرچه کدهای اکسپلویت (Exploit Code) برای این آسیب‌پذیری به صورت عمومی منتشر شده است، اما طبق ارزیابی‌های SSVC، این نقص قابلیت اتوماسیون گسترده ندارد و اثر فنی آن جزئی است. همچنین تا این لحظه شواهدی مبنی بر بهره‌برداری فعال (Active Exploitation) در محیط‌های عملیاتی گزارش نشده است.
توصیه امنیتی
به مدیران وب‌سایت‌های وردپرسی که از افزونه Masteriyo LMS استفاده می‌کنند توصیه می‌شود سریعاً این افزونه را به نسخه 3.4.2 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از نشت پاسخ‌های آزمون‌ها جلوگیری شود.
