CVE-2026-93681

Nome do Software Vulnerável e Versões Afetadas Tutor LMS versões anteriores a 4.1.1

Descrição O plugin Tutor LMS para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Usuários autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários através do parâmetro display name. Esses scripts são executados quando outro usuário acessa a página afetada. A exploração é possível se existir um registro de Consentimento Legal para a conta do invasor, o que provoca a exibição do botão View Logs na coluna Consent Logs em wp-admin/users.php.

Recomendações Atualize o plugin para uma versão posterior à 4.1.0. Restrinja a capacidade de usuários de nível de assinante de modificar o parâmetro display name para minimizar o risco de exploração.