CVE-2024-1133: Luka w Tutor LMS umożliwiająca nieautoryzowany dostęp do pytań i odpowiedzi

Co wiadomo

Wtyczka Tutor LMS dla WordPress do zarządzania kursami online posiada lukę pozwalającą na nieautoryzowany dostęp do treści pytań i odpowiedzi. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą przeglądać pytania w kursach, do których nie są zapisani, w tym w kursach prywatnych.

Wpływ biznesowy

Luka może prowadzić do ujawnienia poufnych informacji zawartych w pytaniach i odpowiedziach kursów, co obniża wartość i bezpieczeństwo oferowanych materiałów edukacyjnych. Operatorzy stron korzystających z Tutor LMS powinni rozważyć ryzyko naruszenia prywatności uczestników oraz potencjalne szkody dla reputacji platformy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Tutor LMS u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niepozwalającego na interakcję z pytaniami, monitorować logi pod kątem podejrzanych działań oraz priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference