CVE-2024-5438: luka w Tutor LMS umożliwiająca usuwanie prób quizów

Co wiadomo

Wtyczka Tutor LMS dla WordPress do e-learningu jest podatna na nieprawidłowe odniesienie do obiektu (Insecure Direct Object Reference) w wersjach do 2.7.1 włącznie. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami instruktora lub wyższymi na usuwanie dowolnych prób quizów.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego usuwania danych dotyczących prób quizów, co wpływa na integralność i wiarygodność wyników kursów online. Operatorzy systemów edukacyjnych korzystających z Tutor LMS powinni zwrócić uwagę na potencjalne ryzyko utraty danych i zakłócenia procesu nauczania.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi systemowe pod kątem podejrzanych działań oraz przeprowadzić przegląd i audyt obecnych uprawnień instruktorów.

Źródła

• NVD
• Reference
• Reference
• Reference