CVE-2026-18439 in Tutor LMS Plugin
الملخص
بحسب VulDB • 22/09/2026
يحتوي الإضافة Tutor LMS – eLearning and online course solution لـ WordPress على ثغرة Insecure Direct Object Reference في الإصدارات حتى 4.0.7 (بما فيها) عبر إجراء AJAX tutor_quiz_builder_save، وذلك بسبب نقص التحقق من صحة القيم المتداخلة مثل question_id و answer_id و deleted_question_ids[] و deleted_answer_ids[] الموجودة في الحمولة المُرسَلة للتأكد من أنها تنتمي إلى اختبار/موضوع/دورة يملك المستخدم المصرح له صلاحية إدارتها. يقوم المعالج بالتحقق فقط من course_id و topic_id على المستوى الأعلى، ومن payload['ID'] عند توفره، لكن المعرّفات المتداخلة تُمرَّر مباشرةً إلى عبارات $wpdb->update/DELETE في الدوال QuizBuilder::save_questions() و QuizBuilder::save_question_answers() و QuizBuilder::handle_delete(). وهذا يمكّن المهاجمين المصادق عليهم ذوي الصلاحيات على مستوى المدرس (Instructor) فأعلى من تجاوز محتوى الأسئلة والإجابات وإعادة تعيين ملكيتها لأسئلة/إجابات اختبارات تابعة لمدرسين أو مسؤولين آخرين، وكذلك حذف صفوف عشوائية لأسئلة وإجابات الاختبارات.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.