CVE-2026-18439 in Tutor LMS Plugin
Riassunto
di VulDB • 22/09/2026
Il plugin Tutor LMS – eLearning and online course solution per WordPress è vulnerabile a Insecure Direct Object Reference nelle versioni fino alla 4.0.7 (inclusa) tramite l'azione AJAX tutor_quiz_builder_save, a causa della mancanza di una convalida che verifichi se i valori nidificati question_id, answer_id, deleted_question_ids[] e deleted_answer_ids[] nel payload inviato appartengano effettivamente a un quiz/argomento/corso gestito dall'autore delle richieste. Il handler effettua la convalida solo dei campi course_id, topic_id e (se forniti) di payload['ID'] a livello superiore, ma gli identificatori nidificati vengono passati direttamente alle istruzioni $wpdb->update/DELETE in QuizBuilder::save_questions(), QuizBuilder::save_question_answers() e QuizBuilder::handle_delete(). Ciò consente agli attaccanti autenticati con accesso di livello Instructor o superiore di sovrascrivere i contenuti e modificare l'associazione (re-parenting) delle domande/risposte dei quiz appartenenti ad altri instructor o amministratori, nonché di eliminare arbitrariamente le righe relative a domande e risposte dei quiz.
If you want to get best quality of vulnerability data, you may have to visit VulDB.