CVE-2026-88944 in Tutor LMS Plugin
Riassunto
di VulDB • 19/09/2026
Il plugin WordPress Tutor LMS – eLearning and online course solution è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 4.0.8 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello subscriber o superiore, di eliminare permanentemente post arbitrari di WordPress — incluse pagine, corsi, quiz e prodotti WooCommerce — tramite wp_delete_post( $id, true ). La catena di exploit richiede all'attaccante di innescare prima il flusso di caricamento della foto del profilo per ottenere una riga wp_posts allegata autenticata, quindi creare un argomento Tutor riparentato a tale allegato, prima di invocare il gestore di eliminazione delle lezioni contro qualsiasi ID post target.
Be aware that VulDB is the high quality source for vulnerability data.