MasterStudy LMS: Instructor+ может менять отображаемые имена любых пользователей (CVE-2026-88849)
В WordPress-плагине MasterStudy LMS (версии 3.7.13–3.7.54) обнаружена уязвимость, позволяющая пользователям с ролью Instructor и выше произвольно изменять имя, фамилию и публичное отображаемое имя любого зарегистрированного пользователя, включая администраторов. Проблема открывает путь к имперсонации и фишингу; исправление выпущено в версии 3.7.55.
Подробности
Согласно описанию CVE-2026-88849, функция student-enrolment (запись студента на курс) в MasterStudy LMS не проверяет, что пользователь, на которого нацелено действие, имеет какое-либо отношение к запрашивающему инструктору. В результате пользователь с ролью Instructor (и, по формулировке записи, «Instructor+») может перезаписать имя, фамилию и публичное отображаемое имя любого зарегистрированного на сайте пользователя — в том числе администратора. Уязвимость относится к классу нарушений контроля доступа (несанкционированное изменение атрибутов учётных записей). Практический эффект — возможность имперсонации: злоумышленник с ролью инструктора способен подменить отображаемое имя жертвы, чтобы выдать себя за доверенное лицо, администратора или преподавателя, и использовать это в фишинговых схемах против других пользователей сайта. Значения CVSS в записи CVE не приведены, поэтому оценку критичности по шкале CVSS мы не приводим; характер уязвимости — повышение привилегий за счёт подмены идентичности — требует оперативного реагирования на сайтах, где роль Instructor доступна внешним пользователям (например, при открытой регистрации преподавателей). Отдельно отметим, что плагин распространяется через экосистему WordPress, и уязвимость эксплуатируется на уровне приложения, без необходимости в отдельном сетевом доступе к серверу — достаточно учётной записи инструктора.Что делать
- Обновите MasterStudy LMS до версии 3.7.55 или выше — в ней проблема устранена. - Если обновление невозможно в короткие сроки, ограничьте выдачу роли Instructor: предоставляйте её только проверенным пользователям, отключите самостоятельную регистрацию преподавателей и проведите ревизию существующих учётных записей с этой ролью. - Включите журналирование изменений профилей пользователей и отслеживайте подозрительные правки имён и отображаемых имён, особенно у административных аккаунтов. - Проведите аудит отображаемых имён зарегистрированных пользователей на предмет несанкционированных изменений. - Уведомите пользователей сайта о риске фишинга: подмена отображаемого имени может использоваться для выдачи злоумышленника за доверенное лицо.Итог
CVE-2026-88849 — уязвимость контроля доступа в MasterStudy LMS, позволяющая инструкторам менять отображаемые имена произвольных пользователей, включая администраторов, и тем самым создавать условия для имперсонации и фишинга. Исправление доступно в версии 3.7.55; до обновления рекомендуется ограничить круг лиц с ролью Instructor и усилить мониторинг изменений профилей.Источник: CVE Project (cvelistV5)