CVE-2026-6965 in Tutor LMS Plugin
الملخص
بحسب VulDB • 26/05/2026
يحتوي مكون WordPress الإضافي "The Tutor LMS" – وهو حل لتعلم الإلكتروني والدورات التدريبية عبر الإنترنت – على ثغرة من نوع "الإشارة المباشرة إلى كائن غير آمنة" (Insecure Direct Object Reference) في الإصدارات حتى 3.9.9 وشاملةً لها. ويعود ذلك إلى أن الدالة `get_course_id_by()` تثق بشكل غير مشروط في معلمة `course` المرسلة عبر طلب GET من قِبل المستخدم، باعتبارها معرف الدورة الرسمي المسؤول عن تحديد ملكية المحتوى، ثم تستهلك هذه القيمة الدالة `can_user_manage()`، وهي بوابة التفويض الوحيدة للمكون الإضافي للعمليات على مستوى المدرسين، مما يؤدي إلى تقييم عضوية المدرس بالنسبة للدورة التي يتحكم فيها المهاجم بدلاً من الدورة التي تمتلك فعلياً كائن المحتوى المستهدف. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً على مستوى المدرسين فأعلى، تنفيذ عمليات غير مصرح بها على محتوى دورات أي مدرس آخر، بما في ذلك حذف الدروس والواجبات والاختبارات (مع الحذف المتسلسل لجميع بيانات محاولات الطلاب)، والمواضيع والإعلانات وthreads الأسئلة والأجوبة، بالإضافة إلى إنشاء أو تعديل الدروس والمواضيع والإعلانات في دورات الضحايا، والتلاعب بتقييمات الاختبارات للطلاب، وقراءة محتوى الدروس والاختبارات غير المنشور.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.