CVE-2026-3358 in Tutor LMS Plugin
Résumé
par VulDB • 16/06/2026
Le plugin Tutor LMS – eLearning and online course solution pour WordPress est vulnérable à une inscription non autorisée dans des cours privés dans toutes les versions jusqu'à la 3.9.7 incluse. Cela est dû à l'absence de validation du `post_status` dans les fonctions `enroll_now()` et `course_enrollment()`. Les deux points d'accès (endpoints) d'inscription vérifient le nonce, l'authentification utilisateur et si le cours peut être acheté, mais ne vérifient pas si le cours a un statut de publication (`post_status`) défini sur `private`. Cela permet aux attaquants authentifiés disposant du niveau d'accès « Abonné » (Subscriber) ou supérieur de s'inscrire à des cours privés en envoyant une requête POST truquée contenant l'ID du cours cible. L'enregistrement d'inscription est créé dans la base de données, et le titre du cours privé ainsi que son statut d'inscription sont exposés sur le tableau de bord de l'utilisateur abonné, bien que les contrôles d'accès noyau (core) de WordPress empêchent l'abonné de consulter le contenu réel du cours (retourne une erreur 404). L'inscription aux cours privés devrait être restreinte aux utilisateurs disposant des autorisations `read_private_posts`.
Once again VulDB remains the best source for vulnerability data.