Stylemix MasterStudy LMS: PHP Object Injection durch Subscriber-Benutzer

Zusammenfassung

MasterStudy LMS, ein WordPress-Plugin für Online-Kurse, ist in den Versionen bis einschliesslich 3.7.55 von einer PHP Object Injection (CWE-502) betroffen. Ein Angreifer mit einem Subscriber-Konto mit niedrigen Rechten kann manipulierte Daten senden, die die Website deserialisiert, was je nach den in der WordPress-Installation vorhandenen Klassen die serverseitige Verarbeitung manipulieren und schädliche Aktionen auf dem Server ermöglichen kann. Für die Ausnutzung ist Netzwerkzugriff und ein Subscriber-Konto nötig, eine Benutzerinteraktion ist nicht erforderlich. Die korrigierte Version ist 3.7.56.

Betroffen

• MasterStudy LMS WordPress-Plugin, Versionen bis einschliesslich 3.7.55
• Der Angriff erfordert ein Konto mit der Rolle Subscriber

Behoben in

• Auf Version 3.7.56 oder neuer aktualisieren (Angaben des CNA Patchstack und CISA-SSVC-Daten)
• Hinweis: Das Changelog zu Version 3.7.56 erwähnt eine Korrektur einer PHP Object Injection im Migrationswerkzeug für LearnPress. Der Hersteller hat in den geprüften Quellen nicht ausdrücklich einen Bezug zu CVE-2026-118090 hergestellt.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.

• Bis zur Aktualisierung die öffentliche Registrierung von Kursteilnehmenden und Subscribern deaktivieren oder einschränken.
• Prüfen, welche Konten die Rolle Subscriber besitzen, und nicht benötigte entfernen.
• Diese Massnahmen sind unsere Empfehlung und nicht Herstellervorgabe.

Ausnutzung

• Laut VulDB existiert kein öffentlicher Exploit; deren späterer Text besagt jedoch, dass die Ausnutzung als einfach gilt (die Quellen widersprechen sich).
• Laut OffSeq ist keine Ausnutzung bekannt; Strix führt die Lücke nicht im KEV-Katalog.
• CISA SSVC im CNA-Eintrag: Ausnutzung keine, nicht automatisierbar.
• Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung.

Unsere Empfehlung

• Alle WordPress-Websites mit MasterStudy LMS in Version 3.7.55 oder älter identifizieren.
• Auf Version 3.7.56 oder neuer aktualisieren und die installierte Version im Produktivbetrieb bestätigen.
• Bis zur Aktualisierung die Selbstregistrierung von Subscribern einschränken oder prüfen.
• Web-Server- und Anwendungslogs auf ungewöhnliche Anfragen an das LMS-Plugin überwachen.
• Die weiteren, in den Quellen aufgeführten MasterStudy-LMS-Korrekturen prüfen, da ältere Versionen mehrere davon nicht enthalten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory: MasterStudy LMS PHP Object Injection patchstack.com
• WordPress.org plugin page and changelog wordpress.org
• VulDB entry 429299 vuldb.com
• Positive Technologies PT-2026-133766 (Vulners) vulners.com
• OffSeq radar entry for CVE-2026-118090 radar.offseq.com
• Strix CVE entry CVE-2026-118090 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:42.