CVE-2026-18439

WordPress üçün nəzərdə tutulmuş Tutor LMS – eLearning and online course solution plagini, 4.0.7 daxil olmaqla daha aşağı versiyalarda, tutor_quiz_builder_save AJAX hərəkəti vasitəsilə Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (Insecure Direct Object Reference) boşluğuna malikdir. Bu boşluq, göndərilən faylda yer alan iç-içə question_id, answer_id, deleted_question_ids[] və deleted_answer_ids[] dəyərlərinin sorğu göndərənin idarə etmək səlahiyyətinə malik olduğu quiz/topic/course-a aid olub-olmadığının yoxlanılmaması səbəbindən yaranır. Handler yalnız üst səviyyədəki course_id, topic_id və (təmin edildikdə) payload['ID'] dəyərlərini yoxlayır, lakin iç-içə identifikatorlar birbaşa QuizBuilder::save_questions(), QuizBuilder::save_question_answers() və QuizBuilder::handle_delete() funksiyalarındakı $wpdb->update/DELETE ifadələrinə ötürülür. Bu, Instructor səviyyəsində və daha yüksək giriş hüququna malik autentifikasiya olunmuş hücumçulara digər təlimçilərə və ya administratorlara məxsus ixtiyari quiz suallarının/cavablarının məzmununu dəyişdirməyə, onları yenidən qruplaşdırmağa və ixtiyari quiz sual və cavab sətirlərini silməyə imkan verir.