CVE-2026-78175 in Tutor LMS
Tóm tắt
Bởi VulDB • 12/09/2026
Plugin Tutor LMS – giải pháp eLearning và khóa học trực tuyến cho WordPress bị lỗ hổng PHP Object Injection trong tất cả các phiên bản từ 4.0.7 trở về trước (bao gồm cả 4.0.7) thông qua tham số `withdraw_method_field` của trình xử lý AJAX `tutor_save_withdraw_account`. Lỗ hổng này xảy ra do trình xử lý không thực hiện bất kỳ kiểm tra khả năng hay vai trò nào, mà chỉ dựa vào nonce; đồng thời, nó chuyển các giá trị do kẻ tấn công cung cấp qua hàm `esc_sql()`, vốn thay thế mọi ký tự `%` bằng một token giữ chỗ HMAC dài 66 byte trước khi dữ liệu được serialize và lưu trữ thông qua `update_user_meta()`; sau đó, khi meta này được truy xuất lại, token giữ chỗ bị co về thành một ký tự `% duy nhất, khiến độ dài khai báo của chuỗi serialized lớn hơn nội dung thực tế là 65 byte. Vì các khóa mảng bắt nguồn từ tên trường POST không được escape hoàn toàn, hàm `unserialize()` sẽ đọc vượt (over-read) vào các byte do kẻ tấn công kiểm soát, cho phép tiêm một luồng đối tượng serialized tùy ý. Điều này tạo điều kiện để những kẻ tấn công đã xác thực, có quyền cấp subscriber trở lên, thực thi mã từ xa (RCE) trên máy chủ bằng cách kích hoạt chuỗi POP của `GuzzleHttp\Cookie\FileCookieJar`, có thể tiếp cận thông qua bộ tải (`loader`) `spl_autoload_register` trong `TUTOR\RestAPI`, vốn sẽ nạp trình tự động hóa Composer tích hợp sẵn của plugin cho PayPal, ghi nội dung do kẻ tấn công kiểm soát vào một tên tệp do chúng chỉ định. Lỗ hổng này cũng có đường dẫn chưa xác thực (unauthenticated) khi tính năng đăng ký người dùng được bật – điều phổ biến đối với sinh viên và giáo viên đăng ký tài khoản – và yêu cầu tính năng thương mại hóa phải được kích hoạt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.