Podatności Tutor LMS

Wtyczka Tutor LMS dla WordPress do wersji 4.0.1 zawiera podatność na ogólne SQL Injection przez parametr 'coupon_code'. Brak odpowiedniego eskejpowania parametru i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie zapobiega nadpisywaniu wewnętrznych zmiennych przez dane z żądania podczas renderowania szablonów, co pozwala nieuwierzytelnionym użytkownikom na wywoływanie dowolnych funkcji PHP z zerową liczbą argumentów i otrzymywanie ich wyników.

Wtyczka Tutor LMS dla WordPressa w wersjach do 4.0.7 włącznie jest podatna na Insecure Direct Object Reference poprzez akcję AJAX tutor_quiz_builder_save z powodu braku walidacji, czy zagnieżdżone identyfikatory question_id, answer_id, deleted_question_ids[] i deleted_answer_ids[] należą do quizu/tematu/kursu, którym zarządza żądający. Uwierzytelniony atakujący z uprawnieniami instruktora lub wyższymi może nadpisywać treści i przepinać pytania/odpowiedzi quizów należących do innych instruktorów lub administratorów oraz usuwać dowolne pytania i odpowiedzi.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) poprzez parametr 'student_id'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym na ujawnienie adresu e-mail oraz numeru telefonu z profilu Tutor dowolnych użytkowników WordPressa, w tym administratorów, poprzez iterowanie po identyfikatorach użytkowników.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na odbity cross-site scripting (Reflected XSS) poprzez parametr 'search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym trwałe usunięcie dowolnych wpisów WordPressa — w tym stron, kursów, quizów i produktów WooCommerce — poprzez wp_delete_post( $id, true ). Łańcuch exploitacji wymaga najpierw wywołania przepływu przesyłania zdjęcia profilowego, utworzenia tematu Tutor powiązanego z tym załącznikiem, a następnie wywołania procedury usuwania lekcji na docelowym wpisie.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nie sprawdza, czy użytkownik ma dostęp do kursu przed zwróceniem treści dyskusji lekcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, czytanie komentarzy z kursów, do których nie jest zapisany, w tym komentarzy oczekujących na moderację.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nieprawidłowo określa, czy przychodzące żądanie jest skierowane do jej własnego API REST, i nie egzekwuje uprawnień zapisanych dla poświadczenia API. Umożliwia to posiadaczowi klucza tylko do odczytu działanie jako konto administratora, które go wydało.

Wtyczka Tutor LMS do WordPressa (wersje do 4.0.7 włącznie) jest podatna na wstrzyknięcie obiektu PHP poprzez parametr `withdraw_method_field` w handlerze AJAX `tutor_save_withdraw_account`. Handler nie sprawdza uprawnień ani roli, opierając się wyłącznie na nonce, a dodatkowo przetwarza dane przez `esc_sql()`, co prowadzi do niezgodności długości w serializowanych danych i umożliwia wstrzyknięcie dowolnego strumienia serializowanego obiektu. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może osiągnąć zdalne wykonanie kodu poprzez łańcuch POP `GuzzleHttp\Cookie\FileCookieJar`, a przy włączonej rejestracji użytkowników istnieje ścieżka nieuwierzytelniona.

Wtyczka Tutor LMS – eLearning i rozwiązanie do kursów online dla WordPressa jest podatna na zdalne wykonanie kodu (RCE) ograniczone do wywoływania funkcji bez argumentów we wszystkich wersjach do 4.0.5 włącznie, poprzez akcję AJAX tutor_course_filter_ajax. Brak autoryzacji w handlerze oraz nieoczyszczone klucze tablicy przekazywane do extract() w tutor_load_template() pozwalają atakującemu na nadpisanie zmiennej $template i wywołanie dowolnej funkcji PHP bez argumentów.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje wartości używanych do budowy zapytania do bazy danych i nie ogranicza, który plik szablonu może zostać załadowany, co pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie SQL oraz odczyt treści pytań i odpowiedzi z kursów, które nie są publicznie dostępne. Wstrzyknięty tekst trafia do zapytania jako gramatyka, a nie jako dane, a na testowanych silnikach baz danych nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści kursu, a nie całej bazy danych.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje ścieżki przechowywanego pliku przed użyciem go do strumieniowania multimediów. Użytkownicy z rolą instruktora mogą czytać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny. Odczytywalne pliki obejmują plik konfiguracyjny WordPressa, co ujawnia dane uwierzytelniające bazy danych oraz klucze uwierzytelniające i sole, umożliwiając fałszowanie ciasteczek uwierzytelniających.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.

Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.14 nie weryfikuje prawidłowo zapisów przy ograniczaniu dostępu do chronionych treści kursu. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym, zapisanym na co najmniej jeden kurs, przeglądanie płatnych lekcji, quizów i zadań należących do innych kursów.

Wtyczka Tutor LMS dla WordPressa do wersji 4.0.0 włącznie zawiera podatność na wstrzykiwanie SQL drugiego rzędu. Autoryzowany atakujący z dostępem na poziomie „custom” lub wyższym może przechowywać złośliwe zapytanie SQL w odpowiedzi na quiz, które zostanie wykonane, gdy uprzywilejowany użytkownik lub posiadacz klucza REST API zażąda punktu końcowego /wp-json/tutor/v1/quiz-attempt-details/{id}.

Wtyczka Tutor LMS dla WordPressa zawiera podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Luka umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza kontroli uprawnień do zapisów, zakupów i dostępu do prywatnych kursów w integracji z Droip i Kirki. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta zapisywanie się na płatne lub prywatne kursy, czytanie treści prywatnych kursów oraz oznaczanie dowolnych kursów jako ukończone.

Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.13 nie weryfikuje, czy żądający użytkownik ma uprawnienia do edycji docelowego wpisu przed jego nadpisaniem w jednym z handlerów zapisu kreatora treści. Autoryzacja opiera się wyłącznie na niepowiązanym identyfikatorze, co pozwala uwierzytelnionym użytkownikom z poziomem instruktora na nadpisywanie i przejmowanie dowolnych wpisów lub stron, w tym należących do administratorów.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza autoryzacji ani walidacji docelowego wpisu przed utworzeniem komentarza w jednym z handlerów. Komentarz jest przechowywany jako wstępnie zatwierdzony, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na publikowanie automatycznie zatwierdzonych komentarzy zawierających dowolny kod HTML i linki na dowolnej treści w całej witrynie, omijając kolejkę moderacji komentarzy.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie weryfikuje własności podejmowanej próby quizu przed zapisem do niej, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na modyfikowanie i wymuszanie ukończenia prób quizów innych uczniów, nadpisując ich zapisane oceny i wynik zaliczenia/niezaliczenia.

Wtyczka Tutor LMS dla WordPressa do wersji 3.9.13 włącznie zawiera podatność na trwałe ataki XSS przez tytuł załącznika lekcji. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i wyjściowych.

W wersjach Tutor LMS do 3.9.7 występuje problem z nieautoryzowanym dostępem, który może prowadzić do złamania kontroli dostępu.