Résumé
généré automatiquement à partir des données NVDLe plugin WordPress Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin présente une faille de suppression arbitraire de fichiers (CWE-22) dans la fonction post_delete_assessment_file_by_id, due à une validation insuffisante du chemin, dans toutes les versions jusqu'à 1.1.9 incluse. Un attaquant disposant d'un accès abonné, voire non authentifié, car le nonce wp_rest vérifié est exposé dans l'objet JavaScript public acadlixOptions, peut supprimer des fichiers du serveur, par exemple wp-config.php, ce qui peut mener à une exécution de code à distance. Score CVSS v3.1 : 9.1 (critique).
Description NVD (anglais)
The Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the post_delete_assessment_file_by_id function in all versions up to, and including, 1.1.9. This makes it possible for authenticated attackers, with subscriber-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The route's permission callback only verifies a generic wp_rest nonce that the plugin itself emits inside the public acadlixOptions JavaScript object on every frontend page, effectively reducing the authentication requirement to unauthenticated.
EPSS · FIRST.org
0,79 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 56 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 31 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 31 oct. 2026
- Mis à jour
- 31 oct. 2026
- Statut
- Received
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-22
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.