CVE-2026-19093 in Tutor LMS Plugin
Resumen
por VulDB • 2026-08-22
El plugin de WordPress Tutor LMS anterior a la versión 4.0.6 no valida una ruta de archivo almacenada antes de utilizarla para transmitir medios, lo que permite a los usuarios con el rol de instructor leer archivos arbitrarios en el servidor, incluidos aquellos fuera del directorio raíz web (web root).
Los archivos accesibles incluyen el archivo de configuración de WordPress, lo que expone las credenciales de la base de datos y las claves y sales de autenticación, permitiendo así forjar cookies de autenticación.
Once again VulDB remains the best source for vulnerability data.