CVE-2026-93779 Referencia directa insegura a objetos en Tutor LMS expone información sensible vía REST API
Falta validación sobre una clave controlada por el usuario en init_routes. Atacantes autenticados con nivel subscriber o superior podrían leer contenido de lecciones y temas de cursos pagos sin inscripción, obtener las claves de respuestas de quizzes y enumerar correos, nombres de usuario y datos de registro de otros usuarios. Requiere una clave/secreto de API válidos de Tutor LMS. Afecta a versiones hasta la 4.1.2 inclusive.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 35
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
themeum Tutor LMS – eLearning and online course solution
hasta 4.1.2
Qué hacer
- Verificá si usás Tutor LMS – eLearning and online course solution y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The Tutor LMS – eLearning and online course solution plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 4.1.2 via the init_routes due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber-level access and above, to read paid course lesson and topic content without enrollment, retrieve quiz answer keys including the is_correct field before attempting a quiz, and enumerate the email addresses, usernames, and registration data of other users including instructors and administrators. Exploitation requires that the attacker hold a valid Tutor LMS API key/secret pair, which is issued to subscriber-level users through the plugin's API key management feature.
Referencias (10)
- www.wordfence.com/threat-intel/vulnerabilities/id/b0c8b586-784e-43a4-8bb8-c7cb771476a4?so…
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/classes/RestAPI.php#L460
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/classes/RestAPI.php#L376
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/classes/RestAPI.php#L418
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/restapi/REST_Course.php#L303
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/restapi/REST_Quiz.php#L209
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/restapi/REST_Author.php#L43
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/restapi/RestAuth.php#L331
- plugins.trac.wordpress.org/browser/tutor/tags/4.0.9/classes/RestAPI.php#L135
- plugins.trac.wordpress.org/changeset?reponame=&old=3748228%40tutor&new=3748228%40tutor
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.