CVE-2026-88944 in Tutor LMS Plugin
摘要
由 VulDB • 2026-09-19
Tutor LMS – eLearning and online course solution 插件（WordPress）在所有不高于 4.0.8 的版本中存在授权绕过漏洞。这是由于该插件未正确验证用户是否有权执行某项操作所致。这使得具有订阅者级别及以上权限的已认证攻击者能够通过调用 wp_delete_post( $id, true )，永久删除任意 WordPress 帖子——包括页面、课程、测验和 WooCommerce 产品。利用此漏洞的攻击链要求攻击者首先触发个人资料照片上传流程以获取一个由自己创建的 wp_posts 附件行，然后将 Tutor 主题重新关联到该附件，最后针对任何目标帖子 ID 调用课程删除处理程序。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.