Tutor LMS – eLearning and online course solution <= 3.9.4 - Missing Authorization to Authenticated (Subscriber+) Limited Attachment Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de eliminación de archivos en el plugin Tutor LMS para WordPress, que afecta a las versiones hasta la 3.9.4. Esta falla permite a usuarios autenticados con rol de suscriptor o superior eliminar archivos adjuntos sin la autorización adecuada.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en la funcionalidad de eliminación de archivos adjuntos. Esto permite que usuarios con permisos limitados, como los suscriptores, puedan realizar acciones que deberían estar restringidas a roles con mayor privilegio.

Impacto potencial

El impacto potencial incluye la pérdida de datos importantes, así como la posibilidad de que un atacante malintencionado elimine contenido crítico de la plataforma de aprendizaje, lo que podría afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo a la interfaz del plugin y utilizando las funciones de eliminación de archivos, lo que les permite eliminar archivos adjuntos sin la autorización adecuada.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 3.9.5 o posterior es esencial para mitigar esta vulnerabilidad. Además, se recomienda revisar las configuraciones de permisos de usuario y aplicar prácticas de hardening en la instalación de WordPress.

Señales de detección

Señales de riesgo incluyen intentos inusuales de eliminación de archivos por parte de usuarios con rol de suscriptor, así como registros de acceso que muestren actividad sospechosa en la gestión de archivos adjuntos.

Alcance afectado

Las versiones de Tutor LMS hasta la 3.9.4 son vulnerables. Es crucial verificar las instalaciones para asegurar que se está utilizando una versión corregida.