CVE-2023-3133

Wtyczka WordPress 'Tutor LMS – eLearning and online course solution' we wszystkich wersjach do 4.1.0 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'ID' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą modyfikować dowolne kursy utworzone przez innych instruktorów — nadpisując ich tytuł, treść i status — oraz przypisać sobie ich własność. Jest to możliwe, ponieważ Input::sanitize_array() zachowuje klucze POST dostarczone przez atakującego (w tym 'ID') bez ich usuwania, a WordPress interpretuje niepuste ID w tablicy argumentów wp_insert_post() jako aktualizację istniejącego posta, a nie nowe wstawienie.

Wtyczka Tutor LMS dla WordPressa w wersjach przed 4.1.1 nie weryfikuje, że posty wskazane w żądaniach zmiany kolejności treści kursu należą do kursu zarządzanego przez żądającego. Umożliwia to użytkownikom z uprawnieniami instruktora przypisanie dowolnego posta w serwisie do własnego kursu, przejmując treści innych instruktorów i czyniąc dowolną opublikowaną treść niedostępną.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.