CVE-2026-3358 in Tutor LMS Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin Tutor LMS – eLearning and online course solution per WordPress è vulnerabile all'iscrizione non autorizzata a corsi privati in tutte le versioni fino alla 3.9.7, inclusa. Ciò è dovuto alla mancanza di convalida del `post_status` nelle funzioni `enroll_now()` e `course_enrollment()`. Entrambi gli endpoint di iscrizione verificano il nonce, l'autenticazione dell'utente e se il corso è acquistabile, ma non controllano se il corso ha un `post_status` impostato su `private`. Ciò consente agli attaccanti autenticati con accesso a livello di Subscriber o superiore di iscriversi ai corsi privati inviando una richiesta POST manipolata contenente l'ID del corso target. Il record di iscrizione viene creato nel database e il titolo del corso privato insieme allo stato dell'iscrizione sono visibili nella dashboard dell'utente, sebbene i controlli di accesso core di WordPress impediscano all'abbonato di visualizzare effettivamente i contenuti del corso (restituisce un errore 404). L'iscrizione ai corsi privati dovrebbe essere limitata agli utenti con la capacità `read_private_posts`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.