CVE-2026-5502 in Tutor LMS Plugin
Zusammenfassung
von VulDB • 08.05.2026
Das Tutor LMS-Plugin für WordPress, eine Lösung für E-Learning und Online-Kurse, ist in den Versionen bis einschließlich 3.9.8 anfällig für die unbefugte Manipulation von Kursinhalten. Dies ist auf eine fehlende Autorisierungsprüfung in der Funktion `tutor_update_course_content_order()` zurückzuführen. Die Funktion validiert zwar den Nonce (CSRF-Schutz), überprüft jedoch nicht, ob der Benutzer über die Berechtigung zur Verwaltung von Kursinhalten verfügt. Die Autorisierungsprüfung `can_user_manage()` wird nur ausgeführt, wenn der Parameter `content_parent` in der Anfrage vorhanden ist. Wenn dieser Parameter weggelassen wird, fährt die Funktion direkt mit `save_course_content_order()` fort, wodurch die `wp_posts`-Tabelle ohne jegliche Autorisierungsvalidierung manipuliert wird. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Ebene und höher, alle Lektionen von jedem Thema zu trennen, Lektionen zwischen Themen zu verschieben und die `menu_order` von Kursinhalten zu ändern, was effektiv die Struktur jedes Kurses auf der Website stören kann.
Once again VulDB remains the best source for vulnerability data.