Tutor LMS <= 3.9.12 - Authenticated (Subscriber+) Information Disclosure (divulgacion de informacion) - version 3.9.13

Resumen ejecutivo

Se ha identificado una vulnerabilidad en Tutor LMS (versiones <= 3.9.12) que permite la divulgación de información a usuarios autenticados con rol de suscriptor o superior. Esto puede comprometer la seguridad de datos sensibles y afectar la integridad del sistema operativo.

Contexto técnico

El fallo se presenta en el plugin Tutor LMS, donde usuarios autenticados pueden acceder a información que debería estar restringida. La exposición ocurre a través de funciones que no validan adecuadamente los permisos de acceso, permitiendo a suscriptores ver datos no autorizados.

Impacto potencial

La capacidad de un usuario no autorizado para acceder a información sensible puede resultar en la filtración de datos, afectando la confianza de los usuarios y la reputación de la plataforma. Esto puede conllevar riesgos legales y financieros si se exponen datos personales.

Vector de explotación

La explotación se lleva a cabo cuando un usuario autenticado con rol de suscriptor o superior accede a ciertas secciones del plugin que no controlan adecuadamente los permisos, lo que les permite ver información sensible.

Mitigación recomendada

Actualizar el plugin Tutor LMS a la versión 3.9.13 o superior para cerrar la vulnerabilidad. Revisar los permisos de acceso a las funciones del plugin para asegurar que se aplican correctamente. Realizar auditorías de seguridad periódicas para identificar y mitigar otras posibles vulnerabilidades.

Señales de detección

Monitorizar los logs de acceso para detectar intentos inusuales de acceso a información restringida por parte de usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las versiones de Tutor LMS hasta la 3.9.12. La versión 3.9.13 y posteriores ya no presentan esta vulnerabilidad.