CVE-2026-5502 in Tutor LMS Plugin
Resumen
por VulDB • 2026-05-19
El plugin Tutor LMS – eLearning and online course solution para WordPress es vulnerable a la manipulación no autorizada del contenido del curso en las versiones anteriores o iguales a la 3.9.8. Esto se debe a una falta de comprobación de autorización en la función tutor_update_course_content_order(). La función solo valida el nonce (protección CSRF) pero no verifica si el usuario tiene permiso para gestionar el contenido del curso. La comprobación de autorización can_user_manage() solo se ejecuta cuando el parámetro 'content_parent' está presente en la solicitud. Cuando este parámetro se omite, la función pasa directamente a save_course_content_order(), que manipula la tabla wp_posts sin ninguna validación de autorización. Esto permite a los atacantes autenticados con acceso de nivel suscriptor o superior desvincular todas las lecciones de cualquier tema, mover lecciones entre temas y modificar el menu_order del contenido del curso, lo que efectivamente les permite alterar la estructura de cualquier curso en el sitio.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.