CVE-2026-78175

WordPress üçün nəzərdə tutulmuş Tutor LMS – eLearning and online course solution plagini, 4.0.7 daxil olmaqla bütün versiyalarda `tutor_save_withdraw_account` AJAX handler-inin `withdraw_method_field` parametri vasitəsilə PHP Object Injection zəifliyinə malikdir. Bu, handler-in hər hansı bir səlahiyyət və ya rol yoxlamasının olmaması, yalnız nonce-a etibar etməsi və eyni zamanda hücumçu tərəfindən təmin edilən dəyərləri `esc_sql()` funksiyasından keçirməsi ilə bağlıdır; bu funksiya məlumatlar serialize edilib `update_user_meta()` vasitəsilə saxlanılmazdan əvvəl hər bir `%` simvolunu 66 baytlıq HMAC placeholder tokeni ilə əvəzləyir. Meta məlumatlar daha sonra geri çağırıldıqda, placeholder yenidən tək bir `%` simvoluna çevrilir və bu, serialize olunmuş sətirin uzunluq bəyanatının faktiki məzmundan 65 bayt çox qalmasına səbəb olur. Massiv açarları tamamilə escape edilməmiş POST sahə adlarından qaynaqlandığı üçün, `unserialize()` hücumçunun idarə etdiyi baytlara həddindən artıq oxuma aparır və bu da ixtiyari serialize olunmuş obyekt axınının inyeksiyasına şərait yaradır. Bu, abunəçi (subscriber) və daha yüksək səviyyəli girişə malik autentifikasiya olunmuş hücumçulara, `TUTOR\RestAPI`-dəki `spl_autoload_register` yükləyicisi vasitəsilə əlçatan olan və plasininin öz paketindəki PayPal Composer autoloader-ini yükləyən `GuzzleHttp\Cookie\FileCookieJar` POP zəncirini tetikləyərək, hücumçunun idarə etdiyi məzmunu onun təyin etdiyi fayl adına yazmaqla serverdə uzaqdan kodun icrasını (RCE) həyata keçirməsinə imkan verir. İstifadəçi qeydiyyatı aktiv olduqda (tələbə və müəllimlərin qeydiyyatı üçün geniş yayılmış haldır), bunun autentifikasiyasız yolu mövcuddur və bu, monetizasiya funksiyasının aktiv olmasını tələb edir.