Fuente base de datos: Wordfence Intelligence

Tutor LMS <= 3.9.12 - Authenticated (Instructor+) Insecure Direct Object Reference (Insecure Direct Object Reference (IDOR)) - version 3.9.13

PLUGIN MEDIUM CVE-2026-12274

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Tutor LMS hasta la versión 3.9.12, que permite a usuarios autenticados acceder a objetos no autorizados. Esta falla puede comprometer la seguridad de los datos y la operativa del sistema educativo en línea.

Contexto técnico

La vulnerabilidad se origina en la gestión inadecuada de las referencias a objetos, permitiendo que instructores autenticados accedan a recursos que deberían estar restringidos. La superficie de ataque incluye cualquier funcionalidad del plugin que maneje identificadores de objetos sin la debida validación.

Impacto potencial

El impacto en el negocio incluye la posible exposición de datos sensibles de usuarios y la pérdida de confianza por parte de los estudiantes y administradores. Esto puede resultar en sanciones legales y daños a la reputación del sitio.

Vector de explotación

La explotación se realiza mediante la manipulación de las solicitudes HTTP para acceder a objetos restringidos, aprovechando la falta de controles adecuados en la validación de permisos.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 3.9.13 o superior para corregir la vulnerabilidad. Revisar y reforzar las políticas de acceso a objetos en el plugin. Realizar auditorías de seguridad periódicas para identificar y mitigar vulnerabilidades similares.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales de acceso a recursos, especialmente por parte de usuarios con privilegios de instructor.

Alcance afectado

Las versiones del plugin Tutor LMS hasta la 3.9.12 están afectadas. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

masterstudy-lms-learning-management-system

MasterStudy LMS WordPress Plugin – for Online Courses and Education <= 3.7.14 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Attachment Deletion

MEDIUM PLUGIN

woolentor-addons

ShopLentor <= 3.4.5 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via 'optionSection' Parameter

MEDIUM PLUGIN

paid-member-subscriptions

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.7 - Insecure Direct Object Reference

MEDIUM PLUGIN

learning-management-system

Masteriyo LMS – LMS Course Builder, Quizzes & Certificates <= 2.3.1 - Authenticated (Subscriber+) Insecure Direct Object Reference

MEDIUM PLUGIN

woocommerce-products-slider

Product Slider, Product Grid, Product Masonry <= 1.13.62 - Authenticated (Contributor+) Insecure Direct Object Reference

MEDIUM PLUGIN

ninja-forms-excel-export

Ninja Forms - Excel Export <= 3.3.6 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Data Disclosure via 'spreadsheet_export_form_id' Parameter

MEDIUM PLUGIN

academy

Academy LMS <= 3.8.0 - Authenticated (Subscriber+) Insecure Direct Object Reference via 'user_id' Parameter

MEDIUM PLUGIN

flowforms

FlowForms <= 1.1.1 - Authenticated (Contributor+) Insecure Direct Object Reference to Arbitrary Form Modification via REST API '/flowforms/v1/forms/{id}' Endpoints

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto