CVSS 9.0 以上
CVE-2026-103882
要約
WordPress用プラグイン「Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin」のバージョン1.1.9までのすべてのバージョンに、post_delete_assessment_file_by_id関数のファイルパス検証が不十分なために任意のファイルを削除できる脆弱性があります。サブスクライバー権限以上の認証済み攻撃者がサーバー上の任意のファイルを削除でき、wp-config.phpなどが削除されるとリモートコード実行につながり得ると説明されています。このルートの権限コールバックは、プラグインが全フロントエンドページの公開JavaScriptオブジェクトacadlixOptions内に出力する汎用のwp_rest nonceしか検証しないため、認証要件は事実上、未認証と同等になっています。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Acadlix LMSWordPressJavaScript
このタグの新着を RSS で受け取る: Acadlix LMS / WordPress / JavaScript(使い方)
判定の理由
- CVSS 9.0 以上