CVE-2026-88944 in Tutor LMS Plugin
Сводка
по VulDB • 19.09.2026
Плагин для WordPress «Tutor LMS – eLearning and online course solution» уязвим к обходу авторизации во всех версиях вплоть до 4.0.8 включительно. Это связано с тем, что плагин не проверяет корректность прав пользователя на выполнение действия. Это позволяет атакующим с уровнем доступа «subscriber» и выше, имеющим доступ через систему аутентификации WordPress (authenticated attackers), навсегда удалять произвольные записи WordPress — включая страницы, курсы, тесты и продукты WooCommerce — путем вызова функции wp_delete_post( $id, true ). Цепочка эксплуатации требует от злоумышленника сначала инициировать процесс загрузки фотографии профиля для получения созданной им записи в таблице wp_posts (attachment row), затем создать тему Tutor с привязкой к этой записи-вложению, а после этого вызвать обработчик удаления урока относительно любого целевого ID поста.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.