PT-2026-32084 · WordPress · Tutor Lms

Publicado 2026-04-11 · Atualizado 2026-04-11 · CVE-2026-3358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Tutor LMS versões até e incluindo 3.9.7

Description O plugin Tutor LMS para WordPress é suscetível a inscrição não autorizada em cursos privados. Isso ocorre porque as funções enroll now() e course enrollment() não validam o post status de um curso, especificamente se ele está marcado como private. Um invasor autenticado com acesso de nível Subscriber ou superior pode se inscrever em um curso privado enviando uma solicitação POST elaborada contendo o ID do curso. Embora o controle de acesso do WordPress impeça a visualização do conteúdo do curso, o título do curso e o status de inscrição são visíveis no painel do subscriber.

Recommendations Atualize o Tutor LMS para uma versão posterior a 3.9.7.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-3358

Produtos afetados

Tutor Lms

Referências · 9

• https://plugins.trac.wordpress.org/changeset/3496394/tutor/trunk/classes/Course.php · Nota
• https://plugins.trac.wordpress.org/browser/tutor/tags/3.9.7/classes/Course.php#L2066 · Nota
• https://plugins.trac.wordpress.org/changeset?old_path=%2Ftutor/tags/3.9.7&new_path=%2Ftutor/tags/3.9.8 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/0c173356-7228-4253-bb28-2c2e11af76fd?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/2042820365848637696 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/tutor/trunk/classes/Course.php#L2053 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-3358 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/tutor/trunk/classes/Course.php#L2989 · Nota
• https://plugins.trac.wordpress.org/browser/tutor/tags/3.9.7/classes/Course.php#L134 · Nota