Tutor LMS <= 2.1.8 - Missing Authorization via multiple AJAX actions

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Tutor LMS, que afecta a las versiones hasta la 2.1.8. Esta falla permite a los atacantes realizar acciones no autorizadas a través de múltiples llamadas AJAX.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en varias acciones AJAX del plugin. Esto permite que usuarios no autenticados o con privilegios insuficientes accedan a funcionalidades restringidas, comprometiendo la seguridad del sistema.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante realizar acciones que podrían alterar la configuración del plugin o acceder a datos sensibles. Esto podría afectar la integridad y disponibilidad del sitio, así como la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes AJAX maliciosas a las acciones vulnerables del plugin, lo que les permite ejecutar operaciones no permitidas sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Tutor LMS a la versión 2.1.9 o superior. Además, es aconsejable revisar las configuraciones de seguridad y aplicar controles de acceso adecuados en las acciones AJAX.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes AJAX inusuales o intentos de acceso a funciones restringidas por parte de usuarios no autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.9 del plugin Tutor LMS. Es crucial verificar la versión instalada en cada sitio que utilice este plugin.