CVE-2026-14310

ŚrednieCVSS 5.4

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.

Ocena ryzyka

Poufne dyskusje kursowe mogą zostać ujawnione nieuprawnionym użytkownikom, a także mogą oni wprowadzać fałszywe odpowiedzi, co podważa integralność treści edukacyjnych.

Rekomendacja

Zaktualizuj wtyczkę Tutor LMS do wersji 4.0.0 lub nowszej.

Inne podatności w Tutor LMS WordPress plugin

CVE-2023-3133Wysokie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 2.2.1 nie wprowadza odpowiednich kontroli uprawnień dla punktów końcowych REST API, co umożliwia nieautoryzowanym atakującym dostęp do informacji z lekcji, które nie powinny być publicznie dostępne.

Oryginalny opis (angielski, źródło NVD)

The Tutor LMS WordPress plugin before 4.0.0 does not properly verify that a user has access to the course a Q&A thread belongs to before returning or writing to that thread, allowing authenticated users with subscriber-level access and above who can access any single course to read the Q&A threads of other courses and to inject replies into them.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS