CVE-2026-15022

Nome do Software Vulnerável e Versões Afetadas Tutor LMS – eLearning and online course solution plugin for WordPress versões anteriores a 4.0.1

Descrição Existe um problema onde atacantes autenticados com nível de acesso customizado ou superior podem realizar uma Injeção de SQL de segunda ordem. Isso ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação na consulta SQL. O payload malicioso é armazenado durante uma tentativa de quiz através do manipulador wp ajax tutor quiz abandon. A injeção é executada posteriormente quando um usuário privilegiado ou um detentor de chave da API REST do Tutor solicita o endpoint '/wp-json/tutor/v1/quiz-attempt-details/{id}', permitindo a extração de informações sensíveis do banco de dados.

Recomendações Atualize o plugin para uma versão posterior a 4.0.0.