PT-2024-16241 · WordPress · Tutor Lms

1337_Wannabe + 1 · Publicado 2024-11-21 · Atualizado 2024-11-21 · CVE-2024-10393

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Tutor LMS para o WordPress, versões até a 2.7.6, inclusive

Descrição

O problema se deve à falta de uma verificação da opção users can register na função register instructor, permitindo que invasores não autenticados se registrem com a função padrão no site, mesmo que o registro esteja desativado.

Recomendações

Para versões até a 2.7.6, inclusive, considere desativar a função register instructor até que um patch esteja disponível para impedir o registro de usuários não autorizados.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

CVE-2024-10393

Produtos afetados

Tutor Lms

Referências · 5

• https://plugins.trac.wordpress.org/changeset/3186319/tutor · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-10393 · Nota de Segurança
• https://twitter.com/CVEnew/status/1859601792331661763 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-10393 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/bf8aa169-df51-46db-8c65-f1543d4f75f9?source=cve · Nota