CVE-2026-19094
Açıklama
4.0.6 sürümünden önceki Tutor LMS WordPress eklentisi, bir veritabanı sorgusu oluşturmak için kullanılan değerleri doğrulamamakta ve bir isteğin hangi şablon dosyasını yükleyebileceğini kısıtlamamaktadır; bu durum, kimliği doğrulanmamış kullanıcıların SQL enjeksiyonu yapmasına ve herkese açık olmayan kurslara ait soru ve cevap içeriklerini okumasına olanak tanımaktadır. Enjekte edilen metin, sorguya veri olarak değil dil bilgisi (grammar) olarak ulaşmaktadır ve test edilen veritabanı motorlarında rastgele veri çıkarımı sağlamamaktadır; bu nedenle gizlilik etkisi, genel veritabanından ziyade ifşa edilen kurs içeriğidir.
Nasıl düzeltilir
- Tutor LMS4.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tutor LMS | 4.0.0 ≤ v < 4.0.6 | 4.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.