VULNERABILIDAD
CVE-2026-104915 Falta de autorización en Academy LMS permite eliminar comentarios de lecciones arbitrarios
El plugin Academy LMS para WordPress, en versiones hasta la 4.0.3 inclusive, no verifica correctamente que un usuario esté autorizado a realizar una acción. Atacantes autenticados con acceso de nivel personalizado o superior pueden eliminar de forma permanente comentarios y respuestas de lecciones de Academy de cualquier usuario, incluidos administradores, en cursos que no dictan, usando su propio course_id para pasar la comprobación de instructor.
Alerta de Nureq Monitor
Detectada 10 OCT · 01:54
CVSS 3.1
6.5MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 13
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-104915
El plugin Academy LMS para WordPress, en versiones hasta la 4.0.3 inclusive, no verifica correctamente que un usuario esté autorizado a realizar una acción. Atacantes autenticados con acceso de nivel personalizado o superior pueden eliminar de forma permanente comentarios y respuestas de lecciones de Academy de cualquier usuario, incluidos administradores, en cursos que no dictan, usando su propio course_id para pasar la comprobación de instructor.
Productos y versiones afectadas
kodezen Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning
Qué hacer
- Verificá si usás Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
The Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.0.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with custom-level access and above, to permanently delete arbitrary Academy lesson comments and their replies authored by any user, including administrators, across courses they do not instruct. This is exploitable by any user registered as an Academy instructor for at least one course, as they can supply their own course_id to pass the instructor check while targeting comments belonging to entirely different courses.
Referencias
- www.wordfence.com/threat-intel/vulnerabilities/id/2640d1f8-958d-4556-919c-58df5bf15b40?so…
- plugins.trac.wordpress.org/browser/academy/tags/4.0.2/includes/ajax/miscellaneous.php#L496
- plugins.trac.wordpress.org/browser/academy/tags/4.0.2/includes/ajax/miscellaneous.php#L477
- plugins.trac.wordpress.org/browser/academy/tags/4.0.2/includes/ajax/miscellaneous.php#L480
- plugins.trac.wordpress.org/browser/academy/tags/4.0.2/includes/ajax/miscellaneous.php#L469
- plugins.trac.wordpress.org/browser/academy/tags/4.0.2/includes/classes/abstract-ajax-hand…
- plugins.trac.wordpress.org/browser/academy/tags/4.0.2/includes/traits/courses.php#L380
- plugins.trac.wordpress.org/changeset?reponame=&old=3734598%40academy&new=3734598%40academy
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.