PT-2024-30596 · WordPress · Tutor Lms Pro
Villu Orav
+1
·
Publicado
2024-05-16
·
Atualizado
2025-01-22
·
CVE-2024-4352
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Tutor LMS Pro para WordPress (versões afetadas não especificadas)
Descrição
O problema diz respeito ao acesso não autorizado, modificação e perda de dados devido à falta de uma verificação de permissão na função
get calendar materials. Além disso, o plugin está vulnerável a injeção de SQL por meio do parâmetro year dessa função, resultante de escapamento insuficiente dos parâmetros fornecidos pelo usuário e preparação inadequada das consultas SQL existentes. Isso permite que invasores autenticados com permissões de nível de assinante e superiores acrescentem consultas SQL adicionais, potencialmente extraindo informações confidenciais do banco de dados.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Tutor Lms Pro