ट्यूटर एलएमएस <= 3.9.7 - प्रमाणित (सदस्य+) के लिए प्राधिकरण गुम है, अनधिकृत निजी पाठ्यक्रम नामांकन

Tutor LMS में CVE-2026-3358 भेद्यता प्रमाणित उपयोगकर्ताओं को अनधिकृत होने पर निजी पाठ्यक्रमों में नामांकन करने की अनुमति देती है। यह enrollnow() और courseenrollment() कार्यों में post_status सत्यापन की कमी के कारण है। ये कार्य nonce की वैधता, उपयोगकर्ता प्रमाणीकरण और पाठ्यक्रम की खरीद क्षमता की जांच करते हैं, लेकिन यह जांच नहीं करते हैं कि पाठ्यक्रम में private स्थिति है या नहीं। एक प्रमाणित हमलावर इस चूक का फायदा उठाकर उन पाठ्यक्रमों में नामांकन कर सकता है जिन्हें विशेष होना चाहिए, जिससे शैक्षिक सामग्री की गोपनीयता और अखंडता से समझौता होता है। CVSS स्कोर 5.4 एक मध्यम जोखिम का संकेत देता है, जिसके लिए संवेदनशील सामग्री तक अनधिकृत पहुंच को रोकने के लिए तत्काल ध्यान देने की आवश्यकता है।

1. आरक्षित2026-02-27
2. प्रकाशित2026-04-11
3. संशोधित2026-04-13
4. EPSS अद्यतन2026-04-18

इस भेद्यता के लिए समाधान Tutor LMS प्लगइन को संस्करण 3.9.8 या उच्चतर में अपडेट करना है। इस अपडेट में आवश्यक post_status सत्यापन शामिल है ताकि केवल अधिकृत उपयोगकर्ता ही निजी पाठ्यक्रमों में नामांकन कर सकें। यदि आप अपने सीखने के मंच पर निजी पाठ्यक्रम का उपयोग कर रहे हैं तो जल्द से जल्द इस अपडेट को करने की सिफारिश की जाती है। इसके अतिरिक्त, उपयोगकर्ता अनुमति सेटिंग्स और भूमिकाओं की समीक्षा करें ताकि यह सुनिश्चित हो सके कि केवल उपयुक्त विशेषाधिकार वाले उपयोगकर्ताओं के पास पाठ्यक्रम नामांकन फ़ंक्शन तक पहुंच है। अपडेट करने से पहले अपनी साइट का बैकअप लेना एक अनुशंसित अभ्यास है।

प्लगइन रेटिंग