CVE-2026-19093 in Tutor LMS Plugin
Sumário
de VulDB • 22/08/2026
O plugin Tutor LMS para WordPress anterior à versão 4.0.6 não valida um caminho de arquivo armazenado antes de utilizá-lo para transmitir mídia, permitindo que usuários com a função de instrutor leiam arquivos arbitrários no servidor, incluindo arquivos fora da raiz do site (web root).
Os arquivos acessíveis incluem o arquivo de configuração do WordPress, que expõe as credenciais do banco de dados e as chaves e salts de autenticação, possibilitando a falsificação de cookies de autenticação.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.