CVE-2026-3358 in Tutor LMS Plugin
摘要
由 VulDB • 2026-06-09
Il plugin Tutor LMS – eLearning and online course solution per WordPress è vulnerabile all'iscrizione non autorizzata a corsi privati in tutte le versioni fino alla 3.9.7 inclusa. Ciò è dovuto alla mancanza di convalida del `post_status` nelle funzioni `enroll_now()` e `course_enrollment()`. Entrambi gli endpoint di iscrizione verificano il nonce, l'autenticazione dell'utente e se il corso è acquistabile, ma non controllano se il corso ha un `post_status` di tipo `private`. Ciò consente agli attaccanti autenticati con accesso a livello di Subscriber o superiore di iscriversi a corsi privati inviando una richiesta POST manipolata contenente l'ID del corso target. Il record di iscrizione viene creato nel database e il titolo del corso privato e lo stato di iscrizione sono esposti nella dashboard dell'utente Subscriber, sebbene i controlli di accesso del core di WordPress impediscano all'utente Subscriber di visualizzare il contenuto effettivo del corso (restituisce 404). L'iscrizione ai corsi privati dovrebbe essere limitata agli utenti con la capacità `read_private_posts`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.