CVE-2026-88944 in Tutor LMS Plugin
要約
〜によって VulDB • 2026年09月19日
WordPress用eLearningおよびオンラインコースソリューションプラグインであるTutor LMSには、バージョン4.0.8以前すべてのバージョンで認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、購読者レベル以上のアクセス権を持つ認証済み攻撃者は、wp_delete_post( $id, true ) を介して、ページ、コース、クイズ、WooCommerce製品などを含む任意のWordPress投稿（posts）を恒久的に削除することが可能になります。このエクスプロイトチェーンでは、まずプロフィール写真アップロードフローをトリガーして作成された wp_posts アタッチメント行を取得し、そのアタッチメントにリパレント化されたTutorトピックを作成してから、対象となる投稿IDに対してレッスン削除ハンドラを呼び出す必要があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.