Tutor LMS <= 3.9.7 - Missing Authorization to Authenticated (Subscriber+) Unauthorized Private Course Enrollment

Resumen ejecutivo

Se ha identificado una vulnerabilidad en Tutor LMS que permite la inscripción no autorizada en cursos privados para usuarios autenticados con rol de suscriptor. Esta falla, con un nivel de severidad medio, puede comprometer la privacidad de los contenidos educativos y afectar la integridad de la plataforma.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para usuarios autenticados, específicamente aquellos con el rol de suscriptor o superior. Esto permite que dichos usuarios accedan a cursos privados sin los permisos necesarios, exponiendo así información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados acceder a contenido que debería estar restringido. Esto puede resultar en la pérdida de confianza por parte de los usuarios, así como en posibles repercusiones legales si se manejan datos sensibles.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la manipulación de solicitudes HTTP para acceder a cursos privados sin la debida autorización.

Mitigación recomendada

Actualizar Tutor LMS a la versión 3.9.8 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios en la plataforma para asegurar que estén configurados correctamente. Implementar auditorías periódicas de seguridad para detectar configuraciones erróneas.

Señales de detección

Señales de alerta incluyen registros de accesos no autorizados a cursos privados y cambios inusuales en los roles de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.8 de Tutor LMS. No se han reportado casos de explotación en versiones posteriores.