Fuente base de datos: Wordfence Intelligence

Tutor LMS <= 3.9.5 - Authenticated (Subscriber+) Information Disclosure in Coupon Details via 'tutor_coupon_details' AJAX Action

PLUGIN MEDIUM CVE-2026-1371

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin Tutor LMS, que afecta a versiones hasta la 3.9.5. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a detalles de cupones a través de una acción AJAX.

Contexto técnico

El fallo se origina en la acción AJAX 'tutor_coupon_details', que no restringe adecuadamente el acceso a la información sensible de los cupones. Esto permite que usuarios no autorizados accedan a datos que deberían ser confidenciales.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de información sensible, lo que podría comprometer la integridad de las promociones y descuentos ofrecidos, afectando potencialmente la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante la invocación de la acción AJAX 'tutor_coupon_details' por parte de un usuario autenticado, que puede obtener información no autorizada sobre cupones disponibles.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 3.9.6 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de hardening en la configuración del plugin.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a la acción AJAX mencionada por parte de usuarios con rol de suscriptor o registros de errores relacionados con accesos no autorizados a detalles de cupones.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.6 del plugin Tutor LMS.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

ninja-forms

Ninja Forms <= 3.14.1 - Authenticated (Contributor+) Sensitive Information Disclosure via Block Editor Token

MEDIUM PLUGIN

tutor

Tutor LMS – eLearning and online course solution <= 3.9.4 - Authenticated (Subscriber+) Insecure Direct Object Reference

MEDIUM WORDPRESS

wp-core

WordPress <= 6.9.1 - Missing Authorization to Authenticated (Author+) Sensitive Information Disclosure via query-attachments AJAX Endpoint

HIGH PLUGIN

tutor

Tutor LMS <= 3.9.6 - Unauthenticated SQL Injection via coupon_code

MEDIUM PLUGIN

tutor

Tutor LMS – eLearning and online course solution <= 3.9.5 - Missing Authorization

MEDIUM PLUGIN

classified-listing

Classified Listing – AI-Powered Classified ads & Business Directory Plugin <= 5.3.4 - Authenticated (Subscriber+) Sensitive Data Exposure

MEDIUM PLUGIN

easy-form-builder

Easy Form Builder <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Response Data Exposure

MEDIUM PLUGIN

smart-forms

Smart Forms <= 2.6.99 - Missing Authorization to Authenticated (Subscriber+) Campaign Data Exposure

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto