CVE-2026-12275
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza kontroli uprawnień do zapisów, zakupów i dostępu do prywatnych kursów w integracji z Droip i Kirki. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta zapisywanie się na płatne lub prywatne kursy, czytanie treści prywatnych kursów oraz oznaczanie dowolnych kursów jako ukończone.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do płatnych i prywatnych kursów, co może prowadzić do utraty przychodów z kursów oraz naruszenia poufności treści edukacyjnych.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Tutor LMS do wersji 3.9.13 lub nowszej. Jeśli integracja z Droip lub Kirki nie jest wymagana, rozważ jej wyłączenie.
Inne podatności w Tutor LMS
Zobacz wszystkie- CVE-2026-15444Średnie
Wtyczka Tutor LMS dla WordPress do wersji 4.0.1 zawiera podatność na ogólne SQL Injection przez parametr 'coupon_code'. Brak odpowiedniego eskejpowania parametru i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych.
- CVE-2026-19092Krytyczne
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.
- CVE-2026-16759Średnie
Wtyczka Tutor LMS – eLearning i rozwiązanie do kursów online dla WordPressa jest podatna na zdalne wykonanie kodu (RCE) ograniczone do wywoływania funkcji bez argumentów we wszystkich wersjach do 4.0.5 włącznie, poprzez akcję AJAX tutor_course_filter_ajax. Brak autoryzacji w handlerze oraz nieoczyszczone klucze tablicy przekazywane do extract() w tutor_load_template() pozwalają atakującemu na nadpisanie zmiennej $template i wywołanie dowolnej funkcji PHP bez argumentów.
- CVE-2026-19094Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje wartości używanych do budowy zapytania do bazy danych i nie ogranicza, który plik szablonu może zostać załadowany, co pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie SQL oraz odczyt treści pytań i odpowiedzi z kursów, które nie są publicznie dostępne. Wstrzyknięty tekst trafia do zapytania jako gramatyka, a nie jako dane, a na testowanych silnikach baz danych nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści kursu, a nie całej bazy danych.
- CVE-2026-19093Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje ścieżki przechowywanego pliku przed użyciem go do strumieniowania multimediów. Użytkownicy z rolą instruktora mogą czytać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny. Odczytywalne pliki obejmują plik konfiguracyjny WordPressa, co ujawnia dane uwierzytelniające bazy danych oraz klucze uwierzytelniające i sole, umożliwiając fałszowanie ciasteczek uwierzytelniających.
- CVE-2026-14187Niskie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.
- CVE-2026-14306Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.14 nie weryfikuje prawidłowo zapisów przy ograniczaniu dostępu do chronionych treści kursu. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym, zapisanym na co najmniej jeden kurs, przeglądanie płatnych lekcji, quizów i zadań należących do innych kursów.
- CVE-2026-15022Średnie
Wtyczka Tutor LMS dla WordPressa do wersji 4.0.0 włącznie zawiera podatność na wstrzykiwanie SQL drugiego rzędu. Autoryzowany atakujący z dostępem na poziomie „custom” lub wyższym może przechowywać złośliwe zapytanie SQL w odpowiedzi na quiz, które zostanie wykonane, gdy uprzywilejowany użytkownik lub posiadacz klucza REST API zażąda punktu końcowego /wp-json/tutor/v1/quiz-attempt-details/{id}.
- CVE-2026-57694Średnie
Wtyczka Tutor LMS dla WordPressa zawiera podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Luka umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu.
- CVE-2026-12274Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.13 nie weryfikuje, czy żądający użytkownik ma uprawnienia do edycji docelowego wpisu przed jego nadpisaniem w jednym z handlerów zapisu kreatora treści. Autoryzacja opiera się wyłącznie na niepowiązanym identyfikatorze, co pozwala uwierzytelnionym użytkownikom z poziomem instruktora na nadpisywanie i przejmowanie dowolnych wpisów lub stron, w tym należących do administratorów.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS WordPress plugin before 3.9.13 does not, in its Droip and Kirki page-builder integration, perform the enrollment, purchase, and private-course capability checks it enforces in its core course handler, allowing authenticated users with subscriber-level access to enroll in paid or private courses without authorization, read private course content, and mark arbitrary courses as completed, on sites where the Droip or Kirki integration is active.