CVE-2026-15022: SQL Injection w wtyczce Tutor LMS dla WordPress

Co wiadomo

Wtyczka Tutor LMS do WordPressa jest podatna na atak SQL Injection poprzez przechowywaną tablicę odpowiedzi quizu w wersjach do 4.0.0 włącznie. Atak wymaga uwierzytelnienia na poziomie co najmniej custom i pozwala na wyciągnięcie wrażliwych danych z bazy przez wstrzyknięcie dodatkowych zapytań SQL.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami custom lub wyższymi dostęp do poufnych informacji w bazie danych poprzez manipulację zapytaniami SQL. Może to prowadzić do wycieku danych, co stanowi zagrożenie dla integralności i poufności systemu e-learningowego. Organizacje korzystające z Tutor LMS powinny traktować tę lukę jako istotne ryzyko dla bezpieczeństwa danych użytkowników.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki Tutor LMS i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu do funkcji quizów do zaufanych użytkowników oraz monitorowanie logów pod kątem nietypowych zapytań do endpointu /wp-json/tutor/v1/quiz-attempt-details/{id}. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference