CVE-2024-4352
Açıklama
WordPress için Tutor LMS Pro eklentisi, 'get_calendar_materials' fonksiyonundaki eksik yetki kontrolü nedeniyle verilerin yetkisiz erişimine, değiştirilmesine ve kaybına karşı savunmasızdır. Eklenti ayrıca, kullanıcı tarafından sağlanan parametredeki yetersiz kaçış karakterleri kullanımı ve mevcut SQL sorgusunun yeterince hazırlanmamış olması nedeniyle aynı fonksiyonun ‘year’ parametresi üzerinden SQL Injection saldırılarına açıktır. Bu durum, abone düzeyinde ve üzeri izinlere sahip kimliği doğrulanmış saldırganların, halihazırdaki sorgulara ek SQL sorguları ekleyerek veri tabanından hassas bilgileri çıkarmasına olanak tanır.
Nasıl düzeltilir
- themeum tutor_lms2.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| themeum tutor_lms | v < 2.7.1 | 2.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.