Analityczne wykorzystywanie plików cookies
CVE-2026-3360: Luka w Tutor LMS umożliwiająca nieautoryzowaną modyfikację danych rozliczeniowych
Wtyczka Tutor LMS do WordPressa ma poważną lukę pozwalającą na nieautoryzowaną zmianę danych rozliczeniowych użytkowników. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.5 HIGH
- EPSS
- 45.87%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Tutor LMS dla WordPressa do wersji 3.9.7 zawiera lukę typu Insecure Direct Object Reference w funkcji pay_incomplete_order(). Brak odpowiednich kontroli uwierzytelniania pozwala atakującemu na zmianę danych rozliczeniowych użytkownika posiadającego nieukończone zamówienie.
Wpływ biznesowy
Luka umożliwia nieautoryzowanym osobom nadpisanie danych rozliczeniowych (imię, e-mail, telefon, adres) użytkowników z nieukończonymi zamówieniami. Może to prowadzić do naruszenia prywatności, problemów z rozliczeniami oraz potencjalnych nadużyć finansowych. Operatorzy stron korzystających z Tutor LMS powinni traktować tę lukę jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji związanych z zamówieniami, monitorować logi pod kątem nietypowych żądań POST oraz rozważyć wdrożenie dodatkowych mechanizmów uwierzytelniania i autoryzacji. Priorytetem jest zabezpieczenie funkcji pay_incomplete_order() przed nieautoryzowanym dostępem.