CVE-2026-85570

Wtyczka Tutor LMS w wersji do 4.1.2 zawiera podatność Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to zapisanie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Podatność typu wyścig (race condition) w Tutor LMS od Themeum umożliwia wykorzystanie warunków wyścigu. Dotyczy wersji od n/a do 4.1.1.

Wtyczka Tutor LMS dla WordPress do wersji 4.0.1 zawiera podatność na ogólne SQL Injection przez parametr 'coupon_code'. Brak odpowiedniego eskejpowania parametru i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.

Wtyczka Tutor LMS dla WordPressa (do wersji 4.1.2) jest podatna na Insecure Direct Object Reference w mechanizmie init_routes z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta może czytać treści płatnych lekcji bez zapisu, pobierać klucze odpowiedzi quizów oraz enumerować dane innych użytkowników, w tym instruktorów i administratorów. Wykorzystanie wymaga posiadania ważnej pary klucz/sekret API Tutor LMS.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.1.0 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr display_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga istnienia rekordu zgody prawnej dla konta atakującego, co powoduje pojawienie się przycisku View Logs w kolumnie Consent Logs w wp-admin/users.php.

Wtyczka WordPress Tutor LMS w wersjach przed 4.1.1 nie wykonuje sprawdzenia uprawnień w procedurze regenerującej zarządzane strony. Umożliwia to nieuwierzytelnionym użytkownikom wymuszenie publikacji nieopublikowanych stron, nadpisanie ich treści, utworzenie brakujących stron oraz zmianę opcji, które je wskazują.

Wtyczka Tutor LMS – eLearning and online course solution dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'tab' we wszystkich wersjach do 4.1.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy uda mu się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby docelowa strona lekcji miała pustą tablicę nav-items, co występuje naturalnie, gdy lekcja nie ma treści, załączników, a komentarze są wyłączone lub użytkownik nie jest zalogowany.

Podatność na niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w Themeum Tutor LMS tutor umożliwia atak Reflected XSS. Problem dotyczy Tutor LMS: od wersji n/a do 4.1.0.

Wtyczka Tutor LMS dla WordPressa w wersjach do 4.0.7 włącznie jest podatna na Insecure Direct Object Reference poprzez akcję AJAX tutor_quiz_builder_save z powodu braku walidacji, czy zagnieżdżone identyfikatory question_id, answer_id, deleted_question_ids[] i deleted_answer_ids[] należą do quizu/tematu/kursu, którym zarządza żądający. Uwierzytelniony atakujący z uprawnieniami instruktora lub wyższymi może nadpisywać treści i przepinać pytania/odpowiedzi quizów należących do innych instruktorów lub administratorów oraz usuwać dowolne pytania i odpowiedzi.