LifterLMS WordPress eklentisinde PHP Nesne Enjeksiyonu Açığı (CVSS 8.8)
Yapay zeka üretimi11.10.2026
- CVE
- CVE-2026-104723
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
NVD kaydına göre, LifterLMS - WP LMS for eLearning eklentisi 10.2.1 ve öncesi sürümlerde PHP nesne enjeksiyonu açığı barındırıyor. Yetkili kullanıcılar bu açığı kullanarak kötü amaçlı nesneler enjekte edebilir.
Ayrıntılar
NVD kaydına göre, LifterLMS - WP LMS for eLearning, Online Courses & Quizzes eklentisi tüm sürümlerde, 10.2.1 dahil, güvenilmeyen girdinin serileştirilmesi sonucu PHP nesne enjeksiyonu (PHP Object Injection) açığı içeriyor. Bu durum, edit_course yetkisine sahip (örneğin Eğitmen, Eğitmen Yardımcısı, LMS Yöneticisi veya Yönetici) oturum açmış saldırganların özel ders oluşturma sırasında geçici ders kimliğiyle kötü amaçlı bir PHP nesnesi enjekte etmesine olanak tanıyor. Açığın tek başına bir POP (PHP Object Payload) zinciri bulunmadığından, tek başına ciddi bir etki yaratmaz; ancak siteye ek bir eklenti veya tema POP zinciri eklenmişse, saldırgan dosya silme, hassas veri toplama veya kod çalıştırma gibi işlemler yapabilir. Açığın ciddiyeti CVSS 8.8 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında eklentiyi en yeni sürüme yükseltin ve eklentiye erişimi yalnızca gerekli yetkilere sahip kullanıcılarla sınırlayın.