CVE-2026-42698

Wtyczka Tutor LMS dla WordPress do wersji 4.0.1 zawiera podatność na ogólne SQL Injection przez parametr 'coupon_code'. Brak odpowiedniego eskejpowania parametru i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Tutor LMS w wersjach do 4.1.0. Umożliwia nieautoryzowanym użytkownikom wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.

Wtyczka Tutor LMS dla WordPressa w wersjach do 4.0.7 włącznie jest podatna na Insecure Direct Object Reference poprzez akcję AJAX tutor_quiz_builder_save z powodu braku walidacji, czy zagnieżdżone identyfikatory question_id, answer_id, deleted_question_ids[] i deleted_answer_ids[] należą do quizu/tematu/kursu, którym zarządza żądający. Uwierzytelniony atakujący z uprawnieniami instruktora lub wyższymi może nadpisywać treści i przepinać pytania/odpowiedzi quizów należących do innych instruktorów lub administratorów oraz usuwać dowolne pytania i odpowiedzi.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) poprzez parametr 'student_id'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym na ujawnienie adresu e-mail oraz numeru telefonu z profilu Tutor dowolnych użytkowników WordPressa, w tym administratorów, poprzez iterowanie po identyfikatorach użytkowników.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na odbity cross-site scripting (Reflected XSS) poprzez parametr 'search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym trwałe usunięcie dowolnych wpisów WordPressa — w tym stron, kursów, quizów i produktów WooCommerce — poprzez wp_delete_post( $id, true ). Łańcuch exploitacji wymaga najpierw wywołania przepływu przesyłania zdjęcia profilowego, utworzenia tematu Tutor powiązanego z tym załącznikiem, a następnie wywołania procedury usuwania lekcji na docelowym wpisie.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nie sprawdza, czy użytkownik ma dostęp do kursu przed zwróceniem treści dyskusji lekcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, czytanie komentarzy z kursów, do których nie jest zapisany, w tym komentarzy oczekujących na moderację.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nieprawidłowo określa, czy przychodzące żądanie jest skierowane do jej własnego API REST, i nie egzekwuje uprawnień zapisanych dla poświadczenia API. Umożliwia to posiadaczowi klucza tylko do odczytu działanie jako konto administratora, które go wydało.

Wtyczka Tutor LMS do WordPressa (wersje do 4.0.7 włącznie) jest podatna na wstrzyknięcie obiektu PHP poprzez parametr `withdraw_method_field` w handlerze AJAX `tutor_save_withdraw_account`. Handler nie sprawdza uprawnień ani roli, opierając się wyłącznie na nonce, a dodatkowo przetwarza dane przez `esc_sql()`, co prowadzi do niezgodności długości w serializowanych danych i umożliwia wstrzyknięcie dowolnego strumienia serializowanego obiektu. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może osiągnąć zdalne wykonanie kodu poprzez łańcuch POP `GuzzleHttp\Cookie\FileCookieJar`, a przy włączonej rejestracji użytkowników istnieje ścieżka nieuwierzytelniona.