CVE-2026-78175
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wtyczka Tutor LMS do WordPressa (wersje do 4.0.7 włącznie) jest podatna na wstrzyknięcie obiektu PHP poprzez parametr `withdraw_method_field` w handlerze AJAX `tutor_save_withdraw_account`. Handler nie sprawdza uprawnień ani roli, opierając się wyłącznie na nonce, a dodatkowo przetwarza dane przez `esc_sql()`, co prowadzi do niezgodności długości w serializowanych danych i umożliwia wstrzyknięcie dowolnego strumienia serializowanego obiektu. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może osiągnąć zdalne wykonanie kodu poprzez łańcuch POP `GuzzleHttp\Cookie\FileCookieJar`, a przy włączonej rejestracji użytkowników istnieje ścieżka nieuwierzytelniona.
Ocena ryzyka
Podatność pozwala na zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia witryny WordPress, kradzieży danych i instalacji złośliwego oprogramowania. Ryzyko jest szczególnie wysokie, gdy włączona jest rejestracja użytkowników i funkcja monetyzacji, ponieważ atak może być przeprowadzony bez uwierzytelnienia.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Tutor LMS do wersji nowszej niż 4.0.7, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji zaleca się wyłączenie funkcji monetyzacji oraz rejestracji użytkowników, a także monitorowanie nietypowej aktywności na koncie subskrybentów.
Inne podatności w Tutor LMS
Zobacz wszystkie- CVE-2026-15444Średnie
Wtyczka Tutor LMS dla WordPress do wersji 4.0.1 zawiera podatność na ogólne SQL Injection przez parametr 'coupon_code'. Brak odpowiedniego eskejpowania parametru i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych.
- CVE-2026-19092Krytyczne
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.
- CVE-2026-18439Średnie
Wtyczka Tutor LMS dla WordPressa w wersjach do 4.0.7 włącznie jest podatna na Insecure Direct Object Reference poprzez akcję AJAX tutor_quiz_builder_save z powodu braku walidacji, czy zagnieżdżone identyfikatory question_id, answer_id, deleted_question_ids[] i deleted_answer_ids[] należą do quizu/tematu/kursu, którym zarządza żądający. Uwierzytelniony atakujący z uprawnieniami instruktora lub wyższymi może nadpisywać treści i przepinać pytania/odpowiedzi quizów należących do innych instruktorów lub administratorów oraz usuwać dowolne pytania i odpowiedzi.
- CVE-2026-89333Średnie
Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) poprzez parametr 'student_id'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym na ujawnienie adresu e-mail oraz numeru telefonu z profilu Tutor dowolnych użytkowników WordPressa, w tym administratorów, poprzez iterowanie po identyfikatorach użytkowników.
- CVE-2026-89081Średnie
Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na odbity cross-site scripting (Reflected XSS) poprzez parametr 'search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.
- CVE-2026-88944Średnie
Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym trwałe usunięcie dowolnych wpisów WordPressa — w tym stron, kursów, quizów i produktów WooCommerce — poprzez wp_delete_post( $id, true ). Łańcuch exploitacji wymaga najpierw wywołania przepływu przesyłania zdjęcia profilowego, utworzenia tematu Tutor powiązanego z tym załącznikiem, a następnie wywołania procedury usuwania lekcji na docelowym wpisie.
- CVE-2026-85572Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nie sprawdza, czy użytkownik ma dostęp do kursu przed zwróceniem treści dyskusji lekcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, czytanie komentarzy z kursów, do których nie jest zapisany, w tym komentarzy oczekujących na moderację.
- CVE-2026-85569Wysokie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nieprawidłowo określa, czy przychodzące żądanie jest skierowane do jej własnego API REST, i nie egzekwuje uprawnień zapisanych dla poświadczenia API. Umożliwia to posiadaczowi klucza tylko do odczytu działanie jako konto administratora, które go wydało.
- CVE-2026-16759Średnie
Wtyczka Tutor LMS – eLearning i rozwiązanie do kursów online dla WordPressa jest podatna na zdalne wykonanie kodu (RCE) ograniczone do wywoływania funkcji bez argumentów we wszystkich wersjach do 4.0.5 włącznie, poprzez akcję AJAX tutor_course_filter_ajax. Brak autoryzacji w handlerze oraz nieoczyszczone klucze tablicy przekazywane do extract() w tutor_load_template() pozwalają atakującemu na nadpisanie zmiennej $template i wywołanie dowolnej funkcji PHP bez argumentów.
- CVE-2026-19094Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje wartości używanych do budowy zapytania do bazy danych i nie ogranicza, który plik szablonu może zostać załadowany, co pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie SQL oraz odczyt treści pytań i odpowiedzi z kursów, które nie są publicznie dostępne. Wstrzyknięty tekst trafia do zapytania jako gramatyka, a nie jako dane, a na testowanych silnikach baz danych nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści kursu, a nie całej bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS – eLearning and online course solution plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 4.0.7 via the `withdraw_method_field` parameter of the `tutor_save_withdraw_account` AJAX handler. This is due to the handler lacking any capability or role check, relying solely on a nonce, while also passing attacker-supplied values through `esc_sql()`, which replaces every `%` character with a 66-byte HMAC placeholder token before the data is serialized and stored via `update_user_meta()`; when the meta is later retrieved, the placeholder is collapsed back to a single `%`, leaving serialized string length declarations 65 bytes greater than the actual content, and because array keys originate from entirely unescaped POST field names, `unserialize()` over-reads into attacker-controlled bytes, allowing injection of an arbitrary serialized object stream. This makes it possible for authenticated attackers, with subscriber-level access and above, to achieve remote code execution on the server by triggering the `GuzzleHttp\Cookie\FileCookieJar` POP chain, reachable via the `spl_autoload_register` loader in `TUTOR\RestAPI` which loads the plugin's own bundled PayPal Composer autoloader, writing attacker-controlled content to an attacker-specified filename. This has an unauthenticated pathway when user registration is enabled, which is common for students and teachers to register, and it requires the monetization feature to be enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS