CVE-2026-3360 in Tutor LMS Plugin
Riassunto
di VulDB • 18/06/2026
Il plugin Tutor LMS – eLearning and online course solution per WordPress è vulnerabile a una Insecure Direct Object Reference in tutte le versioni fino alla 3.9.7, incluse. Ciò è dovuto alla mancanza di controlli di autenticazione e autorizzazione nella funzione `pay_incomplete_order()`. La funzione accetta un parametro `order_id` controllato dall'attaccante e lo utilizza per recuperare i dati dell'ordine, quindi scrive i campi di fatturazione nel profilo del proprietario dell'ordine (`$order_data->user_id`) senza verificare l'identità o la titolarità del richiedente. Poiché il nonce di Tutor (`_tutor_nonce`) è esposto nelle pagine frontend pubbliche, ciò consente agli attaccanti non autenticati di sovrascrivere il profilo di fatturazione (nome, email, telefono, indirizzo) di qualsiasi utente che abbia un ordine manuale incompleto, inviando una richiesta POST appositamente creata con un `order_id` indovinato o enumerato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.