CVE-2026-85571
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 4.1.1 nie weryfikuje, że posty wskazane w żądaniach zmiany kolejności treści kursu należą do kursu zarządzanego przez żądającego. Umożliwia to użytkownikom z uprawnieniami instruktora przypisanie dowolnego posta w serwisie do własnego kursu, przejmując treści innych instruktorów i czyniąc dowolną opublikowaną treść niedostępną.
Ocena ryzyka
Instruktor może przejąć treści innych instruktorów i uczynić dowolną opublikowaną treść niedostępną, co prowadzi do naruszenia integralności danych i zakłócenia działania serwisu.
Rekomendacja
Zaktualizuj wtyczkę Tutor LMS do wersji 4.1.1 lub nowszej. Sprawdź przypisania postów do kursów pod kątem nieautoryzowanych zmian.
Inne podatności w Tutor LMS WordPress plugin
Zobacz wszystkie- CVE-2026-92715Średnie
Wtyczka WordPress 'Tutor LMS – eLearning and online course solution' we wszystkich wersjach do 4.1.0 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'ID' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą modyfikować dowolne kursy utworzone przez innych instruktorów — nadpisując ich tytuł, treść i status — oraz przypisać sobie ich własność. Jest to możliwe, ponieważ Input::sanitize_array() zachowuje klucze POST dostarczone przez atakującego (w tym 'ID') bez ich usuwania, a WordPress interpretuje niepuste ID w tablicy argumentów wp_insert_post() jako aktualizację istniejącego posta, a nie nowe wstawienie.
- CVE-2026-14310Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.
- CVE-2023-3133Wysokie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 2.2.1 nie wprowadza odpowiednich kontroli uprawnień dla punktów końcowych REST API, co umożliwia nieautoryzowanym atakującym dostęp do informacji z lekcji, które nie powinny być publicznie dostępne.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS WordPress plugin before 4.1.1 does not verify that the posts named in its course content ordering requests belong to a course the requester manages, allowing users with instructor level access to reassign the parent of any post on the site, taking other instructors' course content into their own courses and making arbitrary published content unreachable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS