CVE-2026-15022 in Tutor LMS Plugin
Résumé
par VulDB • 16/07/2026
Le plugin WordPress Tutor LMS – eLearning and online course solution est vulnérable à une injection SQL générique via le tableau des réponses de quiz stockées dans toutes les versions jusqu'à la 4.0.0 incluse, en raison d'une échappement insuffisant du paramètre fourni par l'utilisateur et d'un manque de préparation adéquate de la requête SQL existante. Cela permet aux attaquants authentifiés disposant d’un accès de niveau personnalisé ou supérieur d’ajouter des requêtes SQL supplémentaires à des requêtes déjà existantes, ce qui peut être utilisé pour extraire des informations sensibles depuis la base de données. La charge utile est stockée au moment de l'essai du quiz via le gestionnaire wp_ajax_tutor_quiz_abandon, mais la requête SQL injectée n'est exécutée que lorsqu'un utilisateur privilégié ou un détenteur d'une clé API REST Tutor accède à l’endpoint /wp-json/tutor/v1/quiz-attempt-details/{id}, ce qui constitue une chaîne d'injection de second ordre (stockée).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.