CVE-2026-18439 in Tutor LMS Plugin
Zusammenfassung
von VulDB • 22.09.2026
Das WordPress-Plugin „Tutor LMS – eLearning and online course solution“ ist in den Versionen bis einschließlich 4.0.7 anfällig für eine Insecure Direct Object Reference (IDOR) über die AJAX-Aktion `tutor_quiz_builder_save`, da es an der notwendigen Validierung fehlt, dass verschachtelte Werte wie `question_id`, `answer_id`, `deleted_question_ids[]` und `deleted_answer_ids[]` im eingereichten Payload zu einem Quiz, Thema oder Kurs gehören, den der Anfragende autorisiert verwalten darf. Der Handler validiert lediglich die top-level-Parameter `course_id`, `topic_id` und (falls angegeben) `payload['ID']`, während die verschachtelten Bezeichner direkt in `$wpdb->update`-/DELETE-Anweisungen innerhalb von `QuizBuilder::save_questions()`, `QuizBuilder::save_question_answers()` und `QuizBuilder::handle_delete()` eingegeben werden. Dies ermöglicht es authentifizierten Angreifern mit Instructor-Level-Zugriff oder höher, den Inhalt zu überschreiben und beliebige Quizfragen/-antworten anderer Dozenten oder Administratoren neu zuzuordnen sowie willkürliche Zeilen von Quizfragen und -antworten zu löschen.
Once again VulDB remains the best source for vulnerability data.