CVE-2026-1375

Nome do Software Vulnerável e Versões Afetadas Versões do Tutor LMS anteriores à 3.9.5

Descrição O plugin Tutor LMS para WordPress está suscetível a Referências Diretas a Objetos Inseguras (IDOR) devido a verificações de autorização em nível de objeto insuficientes. Especificamente, as funções course list bulk action(), bulk delete course() e update course status() carecem de validação adequada. Isso permite que atacantes autenticados com acesso de nível Instrutor do Tutor ou superior modifiquem ou excluam cursos que não possuem, manipulando IDs de curso em solicitações de ação em lote. O parâmetro vulnerável é o ID do curso usado em solicitações de ação em lote.

Recomendações Atualize o Tutor LMS para uma versão posterior à 3.9.5. Como solução alternativa temporária, restrinja o acesso às funções course list bulk action(), bulk delete course() e update course status() para usuários com acesso de nível Instrutor do Tutor ou superior.