CVE-2026-1375 in Tutor LMS Plugin
要約
〜によって VulDB • 2026年06月09日
WordPress用のeラーニングおよびオンラインコースソリューションプラグインであるTutor LMSには、バージョン3.9.5以前すべてにおいて、インセキュア・ダイレクト・オブジェクト・リファレンス（IDOR）の脆弱性が存在します。これは、`course_list_bulk_action()`、`bulk_delete_course()`、および`update_course_status()`関数において、オブジェクトレベルの認可チェックが欠落しているためです。これにより、Tutor Instructorレベル以上のアクセス権を持つ認証済み攻撃者は、一括アクションリクエスト内のコースIDを操作することで、自分が所有していない任意のコースの修正や削除を行うことが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.