CVE-2026-6965: Luka IDO w Tutor LMS do wersji 3.9.9 umożliwia nieautoryzowane operacje na kursach

Co wiadomo

Wtyczka Tutor LMS dla WordPress do wersji 3.9.9 posiada lukę typu Insecure Direct Object Reference (IDOR), która pozwala użytkownikom z uprawnieniami instruktora na nieautoryzowany dostęp i modyfikację treści kursów innych instruktorów. Luka wynika z nieprawidłowego sprawdzania uprawnień na podstawie parametru GET 'course'.

Wpływ biznesowy

Atakujący z uprawnieniami instruktora mogą usuwać lub modyfikować lekcje, zadania, quizy oraz inne elementy kursów innych instruktorów, co może prowadzić do utraty danych i zakłóceń w działaniu platformy e-learningowej. Taka sytuacja może negatywnie wpłynąć na reputację organizacji oraz zaufanie użytkowników do systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu instruktora oraz monitorować logi pod kątem podejrzanych działań związanych z modyfikacją kursów. Wdrożenie dodatkowych mechanizmów kontroli dostępu i audytu operacji na kursach również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference