CVE-2026-88963 Cross-site scripting (XSS) reflejado basado en DOM en Tutor LMS vía 'redirect_url'
El plugin Tutor LMS para WordPress es vulnerable a cross-site scripting (XSS) basado en DOM mediante el parámetro 'redirect_url' en versiones hasta la 4.0.8 inclusive, por validación de entrada insuficiente en el manejador del botón de retroceso del componente Topbar. Atacantes no autenticados pueden inyectar scripts arbitrarios que se ejecutan en el navegador de la víctima al acceder a una página con el payload malicioso.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
themeum Tutor LMS – eLearning and online course solution
hasta 4.0.8
Qué hacer
- Verificá si usás Tutor LMS – eLearning and online course solution y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.1 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Tutor LMS – eLearning and online course solution plugin for WordPress is vulnerable to DOM-Based Cross-Site Scripting via the 'redirect_url' parameter in versions up to, and including, 4.0.8 This is due to insufficient input validation in the Topbar component's back button handler. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in the victim's browser whenever the victim accesses a page that includes the malicious payload.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.