CVE-2026-3360 in Tutor LMS Plugin
摘要
由 VulDB • 2026-06-13
Tutor LMS – eLearning and online course solution 是 WordPress 的一个插件，在所有不高于 3.9.7 的版本中均存在不安全直接对象引用（Insecure Direct Object Reference）漏洞。该问题是由于在 `pay_incomplete_order()` 函数中缺少身份验证和授权检查所致。此函数接受由攻击者控制的 `order_id` 参数并用于查找订单数据，随后将账单字段写入订单所有者的个人资料（`$order_data->user_id`），而未核实请求者的身份或所有权。由于 Tutor nonce（`_tutor_nonce`）在公共前端页面上公开暴露，这使得未经身份验证的攻击者能够通过发送包含猜测或枚举出的 `order_id` 的构造 POST 请求，覆盖任何拥有未完成手动订单用户的账单个人资料（姓名、电子邮件、电话、地址）。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.