Heimdall Security Logo

CVE-2026-5167

Vulnérabilité moyenne dans Masteriyo LMS – Online Course Builder for eLearning, LMS & Education (masteriyo)

CVSS 5.3 · Moyenne
EPSS 0.5%
masteriyo•Masteriyo LMS – Online Course Builder for eLearning, LMS & Education•Versions : 0, <=2.1.7

Description

The Masteriyo LMS – Online Course Builder for eLearning, LMS & Education plugin for WordPress is vulnerable to Authorization Bypass Through User-Controlled Key in versions up to and including 2.1.7. This is due to insufficient webhook signature verification in the handle_webhook() function. The webhook endpoint processes unauthenticated requests and only performs signature verification if both the webhook_secret setting is configured AND the HTTP_STRIPE_SIGNATURE header is present. Since webhook_secret defaults to an empty string, the webhook processes attacker-controlled JSON payloads without any verification. This makes it possible for unauthenticated attackers to send fake Stripe webhook events with arbitrary order_id values in the metadata, mark any order as completed without payment, and gain unauthorized access to paid course content.

Gravité et risque d'exploitation

CVE-2026-5167 obtient un score CVSS de 5.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.49 %, ce qui la place devant 40.9 % des CVE référencées.

Que faire ?

  • Vérifiez si Masteriyo LMS – Online Course Builder for eLearning, LMS & Education (versions 0, <=2.1.7) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE