CVE-2026-85571

Nome do Software Vulnerável e Versões Afetadas Tutor LMS versões anteriores a 4.1.1

Descrição O plugin não verifica se as postagens especificadas nas solicitações de ordenação de conteúdo do curso pertencem a um curso gerenciado pelo solicitante. Isso permite que usuários com nível de acesso de instrutor realizem um Insecure Direct Object Reference (IDOR)—uma falha onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário—para reatribuir o pai de qualquer postagem no site. Consequentemente, um invasor pode mover o conteúdo de cursos de outros instrutores para seus próprios cursos ou tornar conteúdos publicados arbitrários inacessíveis.

Recomendações Atualize para a versão 4.1.1 ou posterior.