CVE-2026-19092
KrytyczneCVSS 9.8Streszczenie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane wykonywanie funkcji PHP, co może prowadzić do ujawnienia informacji lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Tutor LMS do wersji 4.0.6 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS WordPress plugin before 4.0.6 does not prevent request data from overwriting internal variables while rendering templates, allowing unauthenticated users to invoke arbitrary zero-argument PHP functions and receive their output.