CVE-2026-19094
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje wartości używanych do budowy zapytania do bazy danych i nie ogranicza, który plik szablonu może zostać załadowany, co pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie SQL oraz odczyt treści pytań i odpowiedzi z kursów, które nie są publicznie dostępne. Wstrzyknięty tekst trafia do zapytania jako gramatyka, a nie jako dane, a na testowanych silnikach baz danych nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści kursu, a nie całej bazy danych.
Ocena ryzyka
Organizacja może doświadczyć naruszenia poufności treści kursów, które powinny być chronione, co może prowadzić do wycieku materiałów edukacyjnych lub egzaminacyjnych. Atak nie wymaga uwierzytelnienia, co zwiększa ryzyko wykorzystania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Tutor LMS do wersji 4.0.6 lub nowszej, która zawiera poprawki walidacji i ograniczeń dostępu do plików szablonów.
Inne podatności w Tutor LMS
Zobacz wszystkie- CVE-2026-15444Średnie
Wtyczka Tutor LMS dla WordPress do wersji 4.0.1 zawiera podatność na ogólne SQL Injection przez parametr 'coupon_code'. Brak odpowiedniego eskejpowania parametru i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych.
- CVE-2026-19092Krytyczne
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.
- CVE-2026-16759Średnie
Wtyczka Tutor LMS – eLearning i rozwiązanie do kursów online dla WordPressa jest podatna na zdalne wykonanie kodu (RCE) ograniczone do wywoływania funkcji bez argumentów we wszystkich wersjach do 4.0.5 włącznie, poprzez akcję AJAX tutor_course_filter_ajax. Brak autoryzacji w handlerze oraz nieoczyszczone klucze tablicy przekazywane do extract() w tutor_load_template() pozwalają atakującemu na nadpisanie zmiennej $template i wywołanie dowolnej funkcji PHP bez argumentów.
- CVE-2026-19093Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje ścieżki przechowywanego pliku przed użyciem go do strumieniowania multimediów. Użytkownicy z rolą instruktora mogą czytać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny. Odczytywalne pliki obejmują plik konfiguracyjny WordPressa, co ujawnia dane uwierzytelniające bazy danych oraz klucze uwierzytelniające i sole, umożliwiając fałszowanie ciasteczek uwierzytelniających.
- CVE-2026-14187Niskie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.
- CVE-2026-14306Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.14 nie weryfikuje prawidłowo zapisów przy ograniczaniu dostępu do chronionych treści kursu. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym, zapisanym na co najmniej jeden kurs, przeglądanie płatnych lekcji, quizów i zadań należących do innych kursów.
- CVE-2026-15022Średnie
Wtyczka Tutor LMS dla WordPressa do wersji 4.0.0 włącznie zawiera podatność na wstrzykiwanie SQL drugiego rzędu. Autoryzowany atakujący z dostępem na poziomie „custom” lub wyższym może przechowywać złośliwe zapytanie SQL w odpowiedzi na quiz, które zostanie wykonane, gdy uprzywilejowany użytkownik lub posiadacz klucza REST API zażąda punktu końcowego /wp-json/tutor/v1/quiz-attempt-details/{id}.
- CVE-2026-57694Średnie
Wtyczka Tutor LMS dla WordPressa zawiera podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Luka umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu.
- CVE-2026-12275Wysokie
Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza kontroli uprawnień do zapisów, zakupów i dostępu do prywatnych kursów w integracji z Droip i Kirki. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta zapisywanie się na płatne lub prywatne kursy, czytanie treści prywatnych kursów oraz oznaczanie dowolnych kursów jako ukończone.
- CVE-2026-12274Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.13 nie weryfikuje, czy żądający użytkownik ma uprawnienia do edycji docelowego wpisu przed jego nadpisaniem w jednym z handlerów zapisu kreatora treści. Autoryzacja opiera się wyłącznie na niepowiązanym identyfikatorze, co pozwala uwierzytelnionym użytkownikom z poziomem instruktora na nadpisywanie i przejmowanie dowolnych wpisów lub stron, w tym należących do administratorów.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS WordPress plugin before 4.0.6 does not validate values used to build a database query, and does not restrict which template file a request may load, allowing unauthenticated users to inject SQL and to read question and answer content belonging to courses that are not publicly available. The injected text reaches the query as grammar rather than as data, and on the database engines tested it does not yield extraction of arbitrary data, so the confidentiality impact is the disclosed course content rather than the database at large.