CVE-2026-85571: IDOR в Tutor LMS позволяет инструкторам захватывать чужой контент
В WordPress-плагине Tutor LMS (версии 4.0.5–4.1.0) обнаружена уязвимость типа IDOR. Пользователи с правами инструктора могут переназначать родительскую запись для любых постов сайта, захватывая чужой контент и делая произвольные публикации недоступными. Проблема устранена в версии 4.1.1.
Подробности
Уязвимости подвержены версии Tutor LMS с 4.0.5 по 4.1.0 включительно. Проблема кроется в обработчике запросов на изменение порядка контента внутри курса: плагин не проверяет, что посты, указанные в запросе, действительно принадлежат курсу, которым управляет отправитель запроса. В результате пользователь с правами уровня instructor (инструктор) может отправить специально сформированный запрос и переназначить родительскую запись (parent) для любого поста на сайте. Это даёт возможность: - забирать контент чужих курсов в свои собственные, то есть присваивать материалы других инструкторов; - делать произвольные опубликованные записи недоступными, меняя их принадлежность к курсу и нарушая логику отображения. Уязвимость относится к классу IDOR (Insecure Direct Object Reference) и связана с отсутствием авторизационной проверки владения объектом. Информация о CVSS-оценке в записи CVE не приводится.Что делать
Основная рекомендация — обновить Tutor LMS до версии 4.1.1 или более поздней, где проверка принадлежности постов курсу реализована корректно. Если обновление невозможно в короткие сроки, стоит рассмотреть временные меры: - ограничить число пользователей с правами инструктора и пересмотреть их роли; - включить журналирование действий с курсами и регулярно проверять подозрительные изменения структуры записей; - использовать WAF-правила для фильтрации подозрительных запросов к эндпоинтам упорядочивания контента, если это применимо в вашей конфигурации; - контролировать целостность родительских связей постов, чтобы вовремя заметить несанкционированные переназначения. Следует учитывать, что уязвимость требует наличия учётной записи с правами инструктора, поэтому особое внимание стоит уделить тому, кому такие права выданы. Итог: CVE-2026-85571 — серьёзная проблема контроля доступа в Tutor LMS, позволяющая инструкторам вмешиваться в чужой контент. Единственный надёжный способ устранения — обновление до версии 4.1.1. До установки патча рекомендуется усилить мониторинг и ограничить круг пользователей с расширенными правами.Источник: CVE Project (cvelistV5)