CVE-2026-5167: Błąd autoryzacji w Masteriyo LMS umożliwiający fałszywe zdarzenia webhook

Co wiadomo

Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 posiada lukę pozwalającą na ominięcie autoryzacji przez niewystarczającą weryfikację podpisu webhooka. Atakujący mogą wysyłać fałszywe zdarzenia Stripe, oznaczać zamówienia jako opłacone i uzyskać dostęp do płatnych kursów bez zapłaty.

Wpływ biznesowy

Luka umożliwia nieautoryzowany dostęp do treści płatnych kursów oraz fałszywe potwierdzanie płatności, co może prowadzić do strat finansowych i naruszenia integralności systemu e-learningowego. Operatorzy powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa i wiarygodności platformy edukacyjnej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Masteriyo LMS i ich zastosowanie. W przypadku braku łatki należy ograniczyć ekspozycję endpointów webhooków, monitorować logi pod kątem podejrzanych zdarzeń oraz weryfikować konfigurację webhook_secret. Priorytetowo traktuj audyt i zabezpieczenie mechanizmów autoryzacji webhooków.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference