CVE-2026-120544

Nome do Software Vulnerável e Versões Afetadas The Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning plugin for WordPress versões anteriores a 4.0.2

Descrição Um problema de Directory Traversal existe onde atacantes autenticados com nível de acesso de contribuidor ou superior podem ler arquivos .html arbitrários no servidor. Isso ocorre por meio do parâmetro id, pois o plugin anexa a extensão '.html' ao caminho fornecido antes de ler o arquivo. O conteúdo do arquivo acessado é então retornado no campo de conteúdo da resposta JSON REST. Arquivos com extensões diferentes de .html não podem ser acessados.

Recomendações Atualize o plugin para a versão 4.0.2 ou posterior.