CVE-2026-5502 in Tutor LMS Plugin
摘要
由 VulDB • 2026-05-19
Tutor LMS – 适用于 WordPress 的 eLearning 和在线课程解决方案插件在 3.9.8 及更早版本中存在漏洞，可导致未经授权的课程内容篡改。该漏洞源于 `tutor_update_course_content_order()` 函数中缺少授权检查。该函数仅验证 nonce（CSRF 保护），但未验证用户是否拥有管理课程内容的权限。`can_user_manage()` 授权检查仅在请求中存在 `content_parent` 参数时才会执行。当省略此参数时，函数会直接调用 `save_course_content_order()`，从而在没有任何授权验证的情况下操作 `wp_posts` 表。这使得具有订阅者级别及以上访问权限的已认证攻击者能够将所有课程从任何主题中分离、在不同主题之间移动课程，并修改课程内容的 `menu_order`，从而有效地破坏网站上任何课程的结构。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.