CVE-2026-1372

ŚrednieCVSS 4.3

Opublikowano: 21/07/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Tutor LMS Elementor Addons dla WordPress jest podatna na brak autoryzacji we wszystkich wersjach do 4.0.0 włącznie. Brakuje sprawdzeń uprawnień w funkcjach `activate_tutor_free()` i `activate_elementor_free()` zarejestrowanych jako procedury obsługi `admin_action_*`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym aktywację wtyczek Tutor LMS i Elementor bez odpowiedniej autoryzacji.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanej aktywacji wtyczek, co może prowadzić do eskalacji uprawnień lub nieautoryzowanego dostępu do funkcji.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Tutor LMS Elementor Addons do wersji powyżej 4.0.0 oraz wdrożenie odpowiednich kontroli dostępu dla funkcji administracyjnych.

Inne podatności w Tutor LMS Elementor Addons

CVE-2025-63042Średnie
Podatność typu Stored XSS w wtyczce Tutor LMS Elementor Addons pozwala na trwałe wstrzyknięcie złośliwego skryptu do strony. Atakujący może wykorzystać to do wykonania skryptu w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

The Tutor LMS Elementor Addons plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 4.0.0 This is due to missing capability checks on the `activate_tutor_free()` and `activate_elementor_free()` functions registered as `admin_action_*` handlers. This makes it possible for authenticated attackers, with Subscriber-level access and above, to activate the Tutor LMS and Elementor plugins without proper authorization.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS