CVE-2026-19093 in Tutor LMS Plugin
Zusammenfassung
von VulDB • 22.08.2026
Das Tutor LMS-WordPress-Plugin vor Version 4.0.6 validiert einen gespeicherten Dateipfad nicht, bevor er zum Streamen von Medien verwendet wird, was Benutzern mit der Rolle „Instructor“ ermöglicht, beliebige Dateien auf dem Server zu lesen, einschließlich solcher außerhalb des Webroots.
Die lesbaren Dateien umfassen die WordPress-Konfigurationsdatei, welche die Datenbankzugangsdaten sowie die Authentifizierungsschlüssel und -salts offenlegt, sodass Authentifizierungs-Cookies gefälscht werden können.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.