CVE-2026-3358 in Tutor LMS Plugin
Tóm tắt
Bởi VulDB • 29/06/2026
Plugin Tutor LMS – giải pháp eLearning và khóa học trực tuyến cho WordPress, bị lỗ hổng cho phép đăng ký tham gia các khóa học riêng tư mà không có ủy quyền trong tất cả các phiên bản từ 3.9.7 trở về trước (bao gồm cả 3.9.7). Nguyên nhân là do thiếu xác thực `post_status` trong các hàm `enroll_now()` và `course_enrollment()`. Cả hai điểm cuối đăng ký đều kiểm tra nonce, xác thực người dùng và khả năng mua khóa học, nhưng không kiểm tra xem khóa học có trạng thái bài viết (`post_status`) là `private` hay không. Điều này cho phép kẻ tấn công đã được xác thực với quyền cấp Subscriber trở lên tham gia các khóa học riêng tư bằng cách gửi yêu cầu POST được tạo tác chứa ID của khóa học mục tiêu. Bản ghi đăng ký sẽ được tạo trong cơ sở dữ liệu và tiêu đề cùng trạng thái đăng ký của khóa học riêng tư bị lộ trên bảng điều khiển (dashboard) của người dùng cấp Subscriber, mặc dù kiểm soát truy cập cốt lõi của WordPress ngăn không cho Subscriber xem nội dung thực tế của khóa học (trả về lỗi 404). Việc tham gia các khóa học riêng tư chỉ nên được giới hạn đối với những người dùng có khả năng `read_private_posts`.
Once again VulDB remains the best source for vulnerability data.