CVE-2026-11355: отсутствие авторизации в DT LMS <= 1.1 позволяет менять настройки плагина без аутентификации
В WordPress-плагине DT LMS – elearning (версии до 1.1 включительно) обнаружена уязвимость отсутствия проверки прав доступа. Неаутентифицированный злоумышленник может через AJAX-обработчики изменять произвольные настройки плагина. Критичность — средняя (CVSS 5.3).
Подробности
Уязвимости подвержены все версии плагина DT LMS до 1.1 включительно. Проблема затрагивает несколько AJAX-обработчиков, в том числе dtlms_save_poc_settings, dtlms_save_skin_settings и dtlms_save_options_settings. Эти обработчики зарегистрированы через хук wp_ajax_nopriv_*, что делает их доступными для неаутентифицированных пользователей. Ключевая причина уязвимости — полное отсутствие проверок безопасности: в обработчиках нет проверки прав доступа (capability check), нет верификации nonce-токена, а пользовательские данные напрямую передаются в функцию update_option(). Это позволяет любому внешнему злоумышленнику перезаписывать произвольные значения опций плагина, хранящиеся в таблице wp_options. Под угрозой оказались, в частности, настройки email-адреса точки контакта (Point-of-Contact) и параметры оформления (skin/branding). Изменение этих значений влияет на отображение и поведение LMS-системы для всех посетителей сайта. Злоумышленник может перенаправить контактные данные на свой адрес, изменить визуальный стиль платформы или нарушить её штатную работу. Уязвимости присвоена оценка CVSS 5.3 — средний уровень критичности. Столь умеренная оценка обусловлена тем, что эксплуатация не приводит к прямому выполнению произвольного кода или утечке чувствительных данных, однако позволяет несанкционированно изменять конфигурацию и влиять на работу сайта.Что делать
Основная рекомендация — обновить плагин DT LMS до версии, в которой уязвимость устранена. Если на момент публикации исправленная версия недоступна, следует рассмотреть временные меры защиты: — ограничить доступ к файлу admin-ajax.php средствами веб-сервера или WAF, заблокировав подозрительные запросы к указанным действиям (dtlms_save_poc_settings, dtlms_save_skin_settings, dtlms_save_options_settings); — настроить мониторинг целостности опций плагина в таблице wp_options и журналирование AJAX-запросов; — при отсутствии необходимости в функциональности плагина временно деактивировать его; — регулярно проверять наличие обновлений у разработчика designthemes. Также стоит убедиться, что на сайте настроены базовые механизмы защиты WordPress: актуальные версии ядра и компонентов, надёжная аутентификация администраторов, резервное копирование. Итог: CVE-2026-11355 — показательный пример того, как отсутствие проверки прав доступа и nonce-верификации в AJAX-обработчиках открывает возможности для несанкционированного вмешательства. Владельцам сайтов на WordPress с установленным DT LMS версии 1.1 и ниже следует как можно скорее обновить плагин или применить компенсирующие меры.Источник: CVE Project (cvelistV5)