CVE-2026-85571
NieznaneStreszczenie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 4.1.1 nie weryfikuje, że posty wskazane w żądaniach zmiany kolejności treści kursu należą do kursu zarządzanego przez żądającego. Umożliwia to użytkownikom z uprawnieniami instruktora przypisanie dowolnego posta w serwisie do własnego kursu, przejmując treści innych instruktorów i czyniąc dowolną opublikowaną treść niedostępną.
Ocena ryzyka
Instruktor może przejąć treści innych instruktorów i uczynić dowolną opublikowaną treść niedostępną, co prowadzi do naruszenia integralności danych i zakłócenia działania serwisu.
Rekomendacja
Zaktualizuj wtyczkę Tutor LMS do wersji 4.1.1 lub nowszej. Sprawdź przypisania postów do kursów pod kątem nieautoryzowanych zmian.
Inne podatności w Tutor LMS WordPress plugin
Zobacz wszystkie- CVE-2026-14310Średnie
Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.
- CVE-2023-3133Wysokie
Wtyczka Tutor LMS dla WordPressa w wersjach przed 2.2.1 nie wprowadza odpowiednich kontroli uprawnień dla punktów końcowych REST API, co umożliwia nieautoryzowanym atakującym dostęp do informacji z lekcji, które nie powinny być publicznie dostępne.
Oryginalny opis (angielski, źródło NVD)
The Tutor LMS WordPress plugin before 4.1.1 does not verify that the posts named in its course content ordering requests belong to a course the requester manages, allowing users with instructor level access to reassign the parent of any post on the site, taking other instructors' course content into their own courses and making arbitrary published content unreachable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS