Podatności Tutor LMS WordPress plugin

Wtyczka Tutor LMS dla WordPressa w wersjach przed 4.1.1 nie weryfikuje, że posty wskazane w żądaniach zmiany kolejności treści kursu należą do kursu zarządzanego przez żądającego. Umożliwia to użytkownikom z uprawnieniami instruktora przypisanie dowolnego posta w serwisie do własnego kursu, przejmując treści innych instruktorów i czyniąc dowolną opublikowaną treść niedostępną.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.

Wtyczka Tutor LMS dla WordPressa w wersjach przed 2.2.1 nie wprowadza odpowiednich kontroli uprawnień dla punktów końcowych REST API, co umożliwia nieautoryzowanym atakującym dostęp do informacji z lekcji, które nie powinny być publicznie dostępne.