Tutor LMS <= 3.9.12 - Authenticated (Subscriber+) Insecure Direct Object Reference to Quiz Attemp Modification (Insecure Direct Object Reference (IDOR)) - version 3.9.13

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Insecure Direct Object Reference (IDOR) en Tutor LMS hasta la versión 3.9.12, que permite a usuarios autenticados modificar intentos de quiz. Esta situación puede comprometer la integridad de los datos y la experiencia de aprendizaje de los usuarios.

Contexto técnico

El fallo se origina en la gestión de accesos a los intentos de quiz, donde usuarios con rol de suscriptor o superior pueden acceder y modificar datos que no deberían. Esto se debe a una validación insuficiente de las solicitudes realizadas al servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la manipulación de resultados de quizzes, afectando la evaluación del rendimiento de los usuarios y la credibilidad de la plataforma educativa. Esto puede resultar en pérdidas económicas y de confianza por parte de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas para acceder a recursos que no les corresponden, modificando así intentos de quiz de otros usuarios.

Mitigación recomendada

Actualizar Tutor LMS a la versión 3.9.13 o superior para corregir la vulnerabilidad. Revisar y reforzar las políticas de acceso y autorización en el sistema. Implementar registros detallados de acceso y modificaciones en los quizzes para detectar actividades sospechosas.

Señales de detección

Señales a observar incluyen accesos inusuales a intentos de quiz y modificaciones no autorizadas en los registros de actividad del plugin.

Alcance afectado

Las versiones de Tutor LMS anteriores a la 3.9.13 están afectadas. No se han confirmado otros escenarios o componentes relacionados.