PT-2026-6043
CVE-2026-1375
·
تاريخ النشر
2026-02-02
·
تاريخ التحديث
2026-02-03
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Tutor LMS الأقدم من 3.9.5
الوصف
المكوّن الإضافي Tutor LMS لـ WordPress معرض لخطر ”الإشارات المباشرة غير الآمنة إلى الكائنات“ (IDOR) بسبب عدم كفاية عمليات التحقق من التفويض على مستوى الكائن. وعلى وجه التحديد، تفتقر الدالات
course list bulk action() وbulk delete course() وupdate course status() إلى التحقق من الصحة المناسب. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «مدرب» (Instructor) في Tutor أو أعلى بتعديل أو حذف الدورات التدريبية التي لا يمتلكونها، من خلال التلاعب بمعرفات الدورات التدريبية في طلبات الإجراءات المجمعة. المعلمة المعرضة للخطر هي معرف الدورة التدريبية المستخدم في طلبات الإجراءات المجمعة.التوصيات
قم بتحديث Tutor LMS إلى إصدار أحدث من 3.9.5. كحل بديل مؤقت، قم بتقييد الوصول إلى الدوال
course list bulk action() وbulk delete course() وupdate course status() للمستخدمين الذين يتمتعون بحقوق وصول على مستوى «مدرس» في Tutor أو أعلى. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾