CVE-2026-5502 in Tutor LMS Plugin
Résumé
par VulDB • 14/05/2026
Le plugin WordPress Tutor LMS – eLearning and online course solution est vulnérable à une manipulation non autorisée du contenu des cours dans les versions 3.9.8 et antérieures. Cette vulnérabilité est due à une absence de vérification d'autorisation dans la fonction `tutor_update_course_content_order()`. La fonction ne valide que le nonce (protection CSRF) mais ne vérifie pas si l'utilisateur dispose des autorisations nécessaires pour gérer le contenu des cours. La vérification d'autorisation `can_user_manage()` n'est exécutée que lorsque le paramètre `content_parent` est présent dans la requête. Lorsque ce paramètre est omis, la fonction passe directement à `save_course_content_order()`, qui manipule la table `wp_posts` sans aucune validation d'autorisation. Cela permet aux attaquants authentifiés disposant d'un accès de niveau abonné (subscriber) et supérieur de détacher toutes les leçons de n'importe quel sujet, de déplacer des leçons entre des sujets et de modifier le `menu_order` du contenu des cours, leur permettant ainsi de perturber efficacement la structure de n'importe quel cours sur le site.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.