CVE-2026-3371: Luka w Tutor LMS umożliwiająca nieautoryzowaną zmianę kolejności kursów

Co wiadomo

Wtyczka Tutor LMS dla WordPressa do wersji 3.9.7 posiada lukę typu Insecure Direct Object Reference, która pozwala uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na modyfikację kolejności lekcji i przypisywanie ich do różnych tematów w kursach, także tych należących do administratorów. Luka wynika z braku odpowiednich kontroli autoryzacji podczas przetwarzania żądań AJAX.

Wpływ biznesowy

Atakujący z podstawowym dostępem do systemu mogą manipulować strukturą kursów, co może prowadzić do dezorganizacji materiałów edukacyjnych i potencjalnego wpływu na jakość nauczania. W środowiskach e-learningowych korzystających z Tutor LMS istnie ryzyko nieautoryzowanych zmian w treści kursów, co może wpłynąć na reputację platformy i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji AJAX odpowiedzialnych za zarządzanie kolejnością kursów oraz monitorować logi pod kątem nietypowych żądań AJAX. Należy także przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference