CVE-2026-88944 in Tutor LMS Plugin
요약
\~에 의해 VulDB • 2026. 09. 19.
WordPress용 eLearning 및 온라인 강좌 솔루션 플러그인인 Tutor LMS는 4.0.8 버전까지 모든 버전에서 권한 우회(authorization bypass) 취약점이 존재합니다. 이는 플러그인이 사용자의 작업 수행 권한을 적절하게 검증하지 않기 때문입니다. 이로 인해 구독자(subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자는 wp_delete_post( $id, true )를 통해 페이지, 강좌, 퀴즈 및 WooCommerce 제품 등 임의의 WordPress 게시글(post)을 영구적으로 삭제할 수 있습니다. 이 익스플로잇 체인(exploit chain)은 공격자가 먼저 프로필 사진 업로드 흐름(profile-photo upload flow)을 트리거하여 작성된 wp_posts 첨부 파일 행(attachment row)을 확보한 후, 해당 첨부 파일에 리페렌트(reparented)된 Tutor 토픽(topic)을 생성하고 나서야 대상 게시글 ID(post ID)에 대한 강좌 삭제 핸들러(deletion handler)를 호출해야 합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.