CVE-2023-2919

Plugin Tutor LMS para o WordPress, versões até a 2.7.4, inclusive

O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função addon enable disable. Isso permite que invasores não autenticados ativem ou desativem complementos por meio de uma solicitação falsificada, caso consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até a 2.7.4, inclusive, considere desativar a função addon enable disable até que um patch esteja disponível para impedir a exploração. Restrinja o acesso à interface de gerenciamento de complementos para minimizar o risco de alterações não autorizadas. Atualize para uma versão que inclua a correção para este problema assim que ela estiver disponível.