CVE-2025-6639

ŚrednieCVSS 5.4

Opublikowano: 25/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka Tutor LMS Pro dla WordPress jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.8.3 włącznie, z powodu braku walidacji klucza kontrolowanego przez użytkownika w funkcji tutor_assignment_submit(). Uwierzytelniony atakujący z poziomem Subscriber lub wyższym może przeglądać i edytować zgłoszenia zadań innych studentów.

Ocena ryzyka

Naruszenie poufności i integralności danych — studenci mogą uzyskać dostęp do prac innych osób i je modyfikować.

Rekomendacja

Zaktualizuj wtyczkę Tutor LMS Pro do wersji nowszej niż 3.8.3 i wdróż kontrolę uprawnień po stronie serwera dla operacji na zgłoszeniach zadań.

Inne podatności w Tutor LMS Pro

CVE-2026-22332Krytyczne
W wersjach Tutor LMS Pro do 3.9.6 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

Oryginalny opis (angielski, źródło NVD)

The Tutor LMS Pro – eLearning and online course solution plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.8.3 due to missing validation on a user controlled key when viewing and editing assignments through the tutor_assignment_submit() function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to view and edit assignment submissions of other students.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS