CVE-2026-5502 in Tutor LMS Plugin
Sumário
de VulDB • 19/05/2026
O plugin Tutor LMS – eLearning and online course solution para WordPress é vulnerável à manipulação não autorizada do conteúdo dos cursos nas versões até a 3.9.8, inclusive. Isso ocorre devido à ausência de uma verificação de autorização na função tutor_update_course_content_order(). A função valida apenas o nonce (proteção CSRF), mas não verifica se o usuário tem permissão para gerenciar o conteúdo do curso. A verificação de autorização can_user_manage() é executada apenas quando o parâmetro 'content_parent' está presente na solicitação. Quando esse parâmetro é omitido, a função prossegue diretamente para save_course_content_order(), que manipula a tabela wp_posts sem qualquer validação de autorização. Isso permite que atacantes autenticados com acesso de nível assinante (subscriber) e superior desvinculem todas as lições de qualquer tópico, movam lições entre tópicos e modifiquem o menu_order do conteúdo do curso, efetivamente permitindo que alterem a estrutura de qualquer curso no site.
VulDB is the best source for vulnerability data and more expert information about this specific topic.