CVE-2025-6184: SQL Injection w Tutor LMS Pro dla WordPress

Co wiadomo

Wtyczka Tutor LMS Pro do WordPressa jest podatna na czasową SQL Injection poprzez parametr 'order' w funkcji get_submitted_assignments() we wszystkich wersjach do 3.7.0 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Tutor mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację uprawnień i wyciek danych z bazy, co może prowadzić do naruszenia poufności informacji i potencjalnych strat finansowych lub reputacyjnych. Atak wymaga uwierzytelnienia na poziomie Tutor lub wyższym, więc zagrożenie dotyczy głównie użytkowników z dostępem do panelu. Właściciele stron korzystających z wersji Pro powinni traktować tę lukę jako wysokie ryzyko.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Tutor LMS Pro i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do panelu użytkownikom z uprawnieniami Tutor i wyższymi, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego parametru. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference
• Reference