PT-2024-30595 · WordPress · Tutor Lms Pro

Villu Orav + 1 · Publicado 2024-05-15 · Atualizado 2025-01-22 · CVE-2024-4351

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Plugin Tutor LMS Pro para o WordPress, versões até a 2.7.0, inclusive

Descrição

A vulnerabilidade permite acesso não autorizado, modificação e perda de dados devido à ausência de uma verificação de permissão na função authenticate. Isso permite que invasores autenticados com permissões de nível de assinante ou superiores obtenham controle de uma conta de administrador existente.

Recomendações

Para versões até a 2.7.0, inclusive, atualize para uma versão que inclua uma correção para a falta de verificação de permissão na função authenticate, a fim de impedir o acesso não autorizado e a modificação de dados.

Como solução temporária, considere restringir o acesso à função authenticate até que um patch esteja disponível.

Correção

Missing Authorization

SQL injection

Enumeração de Fraquezas

CWE-862

CWE-89

Identificadores relacionados

BDU:2025-03228

CVE-2024-4351

Produtos afetados

Tutor Lms Pro

Referências · 9

• https://nvd.nist.gov/vuln/detail/CVE-2024-4351 · Nota de Segurança
• https://t.me/cvenotify/79990 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-03228 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/59859583-49e5-4a80-8659-b9ca7ddc089d?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-4351 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1791095826128765063 · Publicação no Twitter
• https://themeum.com/product/tutor-lms · Nota
• https://t.me/ckure/14893 · Publicação no Telegram
• https://reddit.com/r/crowdstrike/comments/1hgbjhf/hunting_guidance_for_cve202443451 · Publicação no Reddit