CVE-2026-15444

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.

Wtyczka Tutor LMS – eLearning i rozwiązanie do kursów online dla WordPressa jest podatna na zdalne wykonanie kodu (RCE) ograniczone do wywoływania funkcji bez argumentów we wszystkich wersjach do 4.0.5 włącznie, poprzez akcję AJAX tutor_course_filter_ajax. Brak autoryzacji w handlerze oraz nieoczyszczone klucze tablicy przekazywane do extract() w tutor_load_template() pozwalają atakującemu na nadpisanie zmiennej $template i wywołanie dowolnej funkcji PHP bez argumentów.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje wartości używanych do budowy zapytania do bazy danych i nie ogranicza, który plik szablonu może zostać załadowany, co pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie SQL oraz odczyt treści pytań i odpowiedzi z kursów, które nie są publicznie dostępne. Wstrzyknięty tekst trafia do zapytania jako gramatyka, a nie jako dane, a na testowanych silnikach baz danych nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści kursu, a nie całej bazy danych.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje ścieżki przechowywanego pliku przed użyciem go do strumieniowania multimediów. Użytkownicy z rolą instruktora mogą czytać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny. Odczytywalne pliki obejmują plik konfiguracyjny WordPressa, co ujawnia dane uwierzytelniające bazy danych oraz klucze uwierzytelniające i sole, umożliwiając fałszowanie ciasteczek uwierzytelniających.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.

Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.14 nie weryfikuje prawidłowo zapisów przy ograniczaniu dostępu do chronionych treści kursu. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym, zapisanym na co najmniej jeden kurs, przeglądanie płatnych lekcji, quizów i zadań należących do innych kursów.

Wtyczka Tutor LMS dla WordPressa do wersji 4.0.0 włącznie zawiera podatność na wstrzykiwanie SQL drugiego rzędu. Autoryzowany atakujący z dostępem na poziomie „custom” lub wyższym może przechowywać złośliwe zapytanie SQL w odpowiedzi na quiz, które zostanie wykonane, gdy uprzywilejowany użytkownik lub posiadacz klucza REST API zażąda punktu końcowego /wp-json/tutor/v1/quiz-attempt-details/{id}.

Wtyczka Tutor LMS dla WordPressa zawiera podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Luka umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza kontroli uprawnień do zapisów, zakupów i dostępu do prywatnych kursów w integracji z Droip i Kirki. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta zapisywanie się na płatne lub prywatne kursy, czytanie treści prywatnych kursów oraz oznaczanie dowolnych kursów jako ukończone.

Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.13 nie weryfikuje, czy żądający użytkownik ma uprawnienia do edycji docelowego wpisu przed jego nadpisaniem w jednym z handlerów zapisu kreatora treści. Autoryzacja opiera się wyłącznie na niepowiązanym identyfikatorze, co pozwala uwierzytelnionym użytkownikom z poziomem instruktora na nadpisywanie i przejmowanie dowolnych wpisów lub stron, w tym należących do administratorów.