Tutor LMS <= 3.9.7 - 'order_id' पैरामीटर के माध्यम से अनधिकृत मनमाना बिलिंग प्रोफाइल ओवरराइट करने के लिए छूटी हुई प्राधिकरण (Missing Authorization)

CVE-2026-3360 WordPress के लिए Tutor LMS प्लगइन में एक असुरक्षित डायरेक्ट ऑब्जेक्ट रेफरेंस (IDOR) भेद्यता है। यह एक हमलावर को orderid पैरामीटर को हेरफेर करने की अनुमति देता है ताकि उन ऑर्डर डेटा तक पहुंचा जा सके और उन्हें बदला जा सके जिनके लिए उनके पास अधिकार नहीं है। विशेष रूप से, payincomplete_order() फ़ंक्शन में उचित प्रमाणीकरण और प्राधिकरण जांच का अभाव है। एक हमलावर, उदाहरण के लिए, ऑर्डर मालिक के बिलिंग फ़ील्ड को संशोधित कर सकता है, जिससे उपयोगकर्ता डेटा अखंडता से समझौता हो सकता है और संभावित रूप से धोखाधड़ी वाली गतिविधियों को सक्षम किया जा सकता है। CVSS स्कोर 7.5 है, जो एक उच्च जोखिम भेद्यता का संकेत देता है। यह प्लगइन के 3.9.7 सहित सभी संस्करणों को प्रभावित करता है।

1. आरक्षित2026-02-27
2. प्रकाशित2026-04-10
3. संशोधित2026-04-13
4. EPSS अद्यतन2026-04-17

अनुशंसित शमन Tutor LMS प्लगइन को संस्करण 3.9.8 या उच्चतर में अपडेट करना है। इस संस्करण में payincompleteorder() फ़ंक्शन के भीतर प्रमाणीकरण और प्राधिकरण जांच को लागू करने के लिए आवश्यक फिक्स शामिल हैं। इस अपडेट को तुरंत लागू करना शोषण के जोखिम को कम करने के लिए महत्वपूर्ण है। इसके अतिरिक्त, WordPress के भीतर उपयोगकर्ता अनुमतियों की समीक्षा करें और ऑर्डर प्रबंधन जैसे संवेदनशील कार्यों तक पहुंच को प्रतिबंधित करें। संदिग्ध गतिविधि के लिए सर्वर लॉग की नियमित रूप से निगरानी करना भी संभावित हमलों का पता लगाने और उनका जवाब देने में मदद कर सकता है।

प्लगइन रेटिंग