WordPress · Tutor Lms Pro · CVE-2024-5784
Nome do software vulnerável e versões afetadas:
O plugin Tutor LMS Pro para o WordPress, versões até a 2.7.2, inclusive
Descrição:
A vulnerabilidade permite que invasores autenticados com acesso de nível de assinante ou superior realizem ações administrativas no site, como excluir comentários, publicações ou usuários, e visualizar notificações. Isso ocorre devido à falta de verificações de permissão em várias funções, como `treport quiz atttempt delete` e `tutor gc class action`.
Recomendações:
Para versões até a 2.7.2, inclusive, atualize para uma versão que inclua as verificações de permissão necessárias para impedir ações administrativas não autorizadas.
Como solução temporária, considere restringir o acesso às funções vulneráveis `treport quiz atttempt delete` e `tutor gc class action` até que um patch esteja disponível.