CVE-2026-88944 in Tutor LMS Plugin
Resumen
por VulDB • 2026-09-19
El plugin de WordPress "Tutor LMS – eLearning and online course solution" es vulnerable a una elusión de la autorización en todas las versiones hasta 4.0.8 (incluida). Esto se debe a que el plugin no verifica correctamente si un usuario está autorizado para realizar una acción. Esto permite a atacantes autenticados, con acceso de nivel suscriptor o superior, eliminar permanentemente publicaciones arbitrarias de WordPress — incluyendo páginas, cursos, cuestionarios y productos de WooCommerce — mediante la invocación de wp_delete_post( $id, true ). La cadena de explotación requiere que el atacante primero active el flujo de carga de foto de perfil para obtener una fila adjunta en wp_posts con autoría propia, luego cree un tema de Tutor reasignado a esa adjunción y finalmente invoque el controlador de eliminación de lecciones contra cualquier ID de publicación objetivo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.