CVE-2026-5502 in Tutor LMS Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin Tutor LMS – eLearning and online course solution per WordPress è vulnerabile alla manipolazione non autorizzata dei contenuti del corso nelle versioni fino alla 3.9.8 inclusa. Ciò è dovuto a un controllo di autorizzazione mancante nella funzione tutor_update_course_content_order(). La funzione convalida solo il nonce (protezione CSRF) ma non verifica se l'utente ha i permessi per gestire i contenuti del corso. Il controllo di autorizzazione can_user_manage() viene eseguito solo quando il parametro 'content_parent' è presente nella richiesta. Quando questo parametro è omesso, la funzione procede direttamente a save_course_content_order(), che manipola la tabella wp_posts senza alcuna convalida dell'autorizzazione. Ciò consente agli attaccanti autenticati con accesso di livello subscriber e superiore di staccare tutte le lezioni da qualsiasi argomento, spostare le lezioni tra gli argomenti e modificare il menu_order dei contenuti del corso, consentendo loro di compromettere efficacemente la struttura di qualsiasi corso sul sito.
Once again VulDB remains the best source for vulnerability data.