CVE-2026-78175

Nome do Software Vulnerável e Versões Afetadas Tutor LMS versões anteriores a 4.0.8

Description O plugin Tutor LMS para WordPress é afetado por um problema de Injeção de Objeto PHP que pode levar à execução remota de código em mais de 100.000 sites em todo o mundo. A falha reside no manipulador AJAX tutor save withdraw account através do parâmetro withdraw method field. O manipulador carece de verificações adequadas de capacidade ou função, dependendo apenas de um nonce. O problema ocorre porque a função esc sql() é mal aplicada a valores armazenados via update user meta(), causando uma dessincronização no comprimento da serialização, onde a declaração de comprimento da string serializada fica 65 bytes maior que o conteúdo real. Isso permite que a função unserialize() realize uma leitura excessiva em chaves POST controladas pelo invasor e injete um fluxo de objeto serializado arbitrário. Atacantes com nível de acesso de assinante ou superior podem acionar a cadeia POP (Property-Oriented Programming) GuzzleHttpCookieFileCookieJar através do carregador spl autoload register em TUTORRestAPI, permitindo a gravação de conteúdo arbitrário em um arquivo no servidor. Isso pode ser explorado por usuários não autenticados se o registro de usuários e o recurso de monetização estiverem habilitados.

Recommendations Atualize o Tutor LMS para a versão 4.0.8. Restrinja os registros abertos de usuários e audite as funções dos usuários para minimizar o risco de exploração. Desative o recurso de monetização caso ele não seja necessário.