CVE-2026-14310
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.
Ocena ryzyka
Poufne dyskusje kursowe mogą zostać ujawnione nieuprawnionym użytkownikom, a także mogą oni wprowadzać fałszywe odpowiedzi, co podważa integralność treści edukacyjnych.
Rekomendacja
Zaktualizuj wtyczkę Tutor LMS do wersji 4.0.0 lub nowszej.
Inne podatności w Tutor LMS WordPress plugin
Zobacz wszystkie- CVE-2026-92715Średnie
Wtyczka WordPress 'Tutor LMS – eLearning and online course solution' we wszystkich wersjach do 4.1.0 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'ID' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą modyfikować dowolne kursy utworzone przez innych instruktorów — nadpisując ich tytuł, treść i status — oraz przypisać sobie ich własność. Jest to możliwe, ponieważ Input::sanitize_array() zachowuje klucze POST dostarczone przez atakującego (w tym 'ID') bez ich usuwania, a WordPress interpretuje niepuste ID w tablicy argumentów wp_insert_post() jako aktualizację istniejącego posta, a nie nowe wstawienie.
- CVE-2026-85571Średnie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 4.1.1 nie weryfikuje, że posty wskazane w żądaniach zmiany kolejności treści kursu należą do kursu zarządzanego przez żądającego. Umożliwia to użytkownikom z uprawnieniami instruktora przypisanie dowolnego posta w serwisie do własnego kursu, przejmując treści innych instruktorów i czyniąc dowolną opublikowaną treść niedostępną.
- CVE-2023-3133Wysokie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 2.2.1 nie wprowadza odpowiednich kontroli uprawnień dla punktów końcowych REST API, co umożliwia nieautoryzowanym atakującym dostęp do informacji z lekcji, które nie powinny być publicznie dostępne.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS WordPress plugin before 4.0.0 does not properly verify that a user has access to the course a Q&A thread belongs to before returning or writing to that thread, allowing authenticated users with subscriber-level access and above who can access any single course to read the Q&A threads of other courses and to inject replies into them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS