Tutor LMS Pro – eLearning and online course solution <= 3.8.3 - Authenticated (Subscriber+) Insecure Direct Object Reference to View/Edit Other Assignments

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Tutor LMS Pro, que afecta a las versiones hasta la 3.8.3. Este fallo permite a usuarios autenticados con rol de suscriptor o superior acceder y editar asignaciones de otros usuarios.

Contexto técnico

La vulnerabilidad se basa en una referencia directa insegura a objetos, lo que permite a los atacantes acceder a recursos que no deberían. Esto ocurre en las funcionalidades de visualización y edición de asignaciones dentro del plugin, exponiendo datos sensibles de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante manipular o acceder a información de otros usuarios, lo que puede comprometer la integridad de los datos y la confianza en la plataforma de eLearning.

Vector de explotación

Normalmente, la explotación de esta vulnerabilidad se lleva a cabo mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo al atacante acceder a asignaciones ajenas sin autorización adecuada.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Tutor LMS Pro a la versión 3.9.0 o superior. Además, se sugiere revisar las configuraciones de permisos y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de posible explotación incluyen accesos no autorizados a datos de asignaciones de otros usuarios y cambios inesperados en las asignaciones que no corresponden al usuario autenticado.

Alcance afectado

Las versiones del plugin Tutor LMS Pro afectadas son todas las anteriores a la 3.9.0, especialmente la 3.8.3 y anteriores.