Resumen ejecutivo
Se ha identificado una vulnerabilidad de autorización en el plugin Tutor LMS, que afecta a las versiones hasta la 3.9.5. Esta falla puede permitir a usuarios no autorizados acceder a funcionalidades restringidas.
Fuente base de datos: Wordfence Intelligence
Tutor LMS – eLearning and online course solution <= 3.9.5 - Missing Authorization
PLUGIN
MEDIUM
CVE-2026-23799
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.
Contexto técnico
El fallo se relaciona con la falta de controles de autorización adecuados en ciertas funciones del plugin Tutor LMS. Esto crea una superficie de ataque donde usuarios malintencionados pueden intentar eludir las restricciones de acceso.
Impacto potencial
La explotación de esta vulnerabilidad podría comprometer la integridad de los datos del curso y la privacidad de los usuarios, lo que podría resultar en pérdidas económicas y daños a la reputación del negocio.
Vector de explotación
Los atacantes pueden intentar acceder a funciones del plugin que deberían estar restringidas, aprovechando la falta de verificación de permisos en las solicitudes.
Mitigación recomendada
Actualizar el plugin Tutor LMS a la versión 3.9.6 o superior para cerrar la brecha de seguridad. Además, es recomendable revisar las configuraciones de acceso y permisos de los usuarios.
Señales de detección
Señales de explotación incluyen intentos inusuales de acceso a funciones administrativas o cambios en la configuración del curso por usuarios no autorizados.
Alcance afectado
Las versiones afectadas son todas las anteriores a la 3.9.6 del plugin Tutor LMS.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
tutor
Tutor LMS – eLearning and online course solution <= 3.9.4 - Authenticated (Subscriber+) Insecure Direct Object Reference
HIGH
PLUGIN
tutor
Tutor LMS <= 3.9.6 - Unauthenticated SQL Injection via coupon_code
HIGH
PLUGIN
tutor
Tutor LMS <= 3.9.5 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Course Modification and Deletion
MEDIUM
PLUGIN
tutor
Tutor LMS <= 3.9.5 - Authenticated (Subscriber+) Information Disclosure in Coupon Details via 'tutor_coupon_details' AJAX Action
MEDIUM
PLUGIN
tutor
Tutor LMS – eLearning and online course solution <= 3.9.4 - Missing Authorization to Authenticated (Subscriber+) Limited Attachment Deletion
MEDIUM
PLUGIN
tutor
Tutor LMS – eLearning and online course solution <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Coupon Modification
MEDIUM
PLUGIN
tutor
Tutor LMS – eLearning and online course solution <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Course Enrollment Bypass
MEDIUM
PLUGIN
tutor
Tutor LMS – eLearning and online course solution <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Course Completion
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto