CVE-2026-19093 in Tutor LMS Plugin
Résumé
par VulDB • 22/08/2026
Le plugin WordPress Tutor LMS antérieur à la version 4.0.6 ne valide pas un chemin de fichier stocké avant de l'utiliser pour diffuser des médias, permettant aux utilisateurs disposant du rôle d'instructeur de lire n'importe quels fichiers sur le serveur, y compris les fichiers situés en dehors de la racine web (web root).
Les fichiers lisibles incluent le fichier de configuration WordPress, qui expose les identifiants de base de données ainsi que les clés et sels d'authentification, permettant ainsi de forger des cookies d'authentification.
Once again VulDB remains the best source for vulnerability data.