یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-88843 در افزونه MasterStudy LMS برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 3.7.50 وجود دارد و به دلیل عدم اعتبارسنجی صحیح یکی از تنظیمات مربوط به استایل نمایش (display-style settings)، امکان سوءاستفاده را فراهم می‌کند.
جزئیات فنی و سطح دسترسی
این آسیب‌پذیری به کاربران با نقش Contributor (همکار) و بالاتر اجازه می‌دهد تا از طریق دستکاری مسیر قالب (template path)، فایل‌های PHP محلی دلخواه را روی سرور فراخوانی و اجرا کنند. این وضعیت منجر به اجرای کد از راه دور یا RCE (Remote Code Execution) در سطح سرور می‌شود.
نکته مهم در مورد اصلاحات
گزارش‌ها حاکی از آن است که یک مسیر مشابه در نسخه‌های قبلی اصلاح شده بود، اما این مسیر خاص نادیده گرفته شده است. به همین دلیل، این مشکل حتی در نسخه‌هایی که طبق اطلاعیه‌های قبلی «اصلاح شده» اعلام شده بودند، همچنان پابرجاست.
توصیه‌های امنیتی
- مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند باید سریعاً آن را به آخرین نسخه منتشر شده (3.7.50 یا بالاتر) به‌روزرسانی کنند.
- بررسی سطح دسترسی کاربران و محدود کردن نقش‌های غیرضروری توصیه می‌شود تا سطح حمله (Attack Surface) کاهش یابد.
