Уязвимост с висока степен на сериозност в WordPress приставката Tutor LMS би могла да позволи на потребител с ниски привилегии да поеме контрол над засегнатия сървър. Проблемът засяга повече от 100 000 сайта, които използват приставката за електронно обучение, особено инсталации, които позволяват на посетителите да се регистрират като студенти.

Изследователите отбелязват, че грешката може да доведе до отдалечено изпълнение на код (remote code execution), което означава, че атакуващ би могъл да изпълнява команди на уеб сървъра.

От Wordfence заявяват в доклад, споделен с Cyber Security News (CSN), че техният изследователски агент Argus е идентифицирал проблема на 23 август 2026 г., а констатациите са потвърдени на същия ден.

Рискът е значителен, тъй като сайтовете за обучение често приемат регистрации от студенти, инструктори и клиенти. Успешна атака би могла да позволи на злонамерен субект да постави зловреден файл на сървъра, да открадне данни, да промени съдържанието на сайта или да използва компрометирания уебсайт като плацдарм за последващи атаки.

Уязвимост в Tutor LMS

Уязвимият код се намира във функцията за изтегляне на средства от акаунта в Tutor LMS. Засегнатият AJAX манипулатор, tutor_save_withdraw_account, е проверявал единствено за маркер за сигурност (nonce), но не е проверявал дали заявителят има съответната роля, за да използва функцията.

Специално проектирани входни данни могат да нарушат начина, по който PHP чете запазените данни по-късно, позволявайки на атакуващия да вмъкне неочакван обект в процеса.

Този клас слабост е известен като PHP инжектиране на обекти (PHP object injection) и остава сериозен проблем в екосистемите от приставки, както беше видяно и при предишни рискове от прихващане на приставки, свързани с небезопасна десериализация.

За да задейства финалния етап, атакуващият изпраща подправената заявка два пъти или предизвиква прочитане на засегнатата информация за теглене. След това приставката може да зареди включена библиотека, която записва контролирано от атакуващия съдържание в избран пътен адрес на файл.

Ако този файл е PHP скрипт, поставен в достъпна през уеб директория за качвания (uploads), последващи заявки биха могли да изпълняват команди на операционната система с правата на уеб сървъра.

В доклада не се твърди, че тази уязвимост в Tutor LMS се експлоатира активно. Всичко това обаче, заедно с ниската бариера за автентификация, я прави приоритет за администраторите, особено при платформи за членство или курсове, които позволяват на новите потребители да се регистрират автоматично.

Организациите трябва също така да запомнят, че автентифицираният достъп все още може да бъде опасен, както беше демонстрирано от грешка в кода при качване от автори, изискваща доверена роля в сайта.

Корекция за сигурност и смекчаване на риска

Разработчиците на приставката пуснаха Tutor LMS версия 4.0.8 на 10 септември 2026 г., за да отстранят напълно проблема. Обновяването добавя проверка на разрешенията само за инструктори, премахва небезопасната стъпка за обработка на данни, валидира методите за теглене и ограничава полетата до одобрен списък, вместо да приема произволни имена, предоставени от потребителя.

Администраторите, работещи с Tutor LMS, трябва незабавно да инсталират корекции за сигурност и да обновят до версия 4.0.8 или по-нова. Те трябва също така да прегледат дали е необходима отворена регистрация, да премахнат неактивните акаунти и да проверят администраторските потребители, папките за качване и логовете на уеб сървъра за необичайна активност.

Поддържането на актуални версии на ядрото на WordPress също е от значение, особено след скорошното обновяване за сигурност на WordPress, което коригира 11 допълнителни уязвимости.

Когато е възможно, собствениците на сайтове трябва да ограничат регистрацията до потребители, които наистина се нуждаят от акаунти, и да се уверят, че ролите на студенти и инструктори се разпределят внимателно.

Рутинните резервни копия остават важни, но те трябва да се управляват сигурно, тъй като уязвимите инструменти за миграция могат да създадат друг маршрут за компрометиране, както е описано във веригата на атака чрез приставки за резервни копия.

Хронологията на разкриване показва, че защитно правило за защитна стена е било доставено на определени потребители на 25 август, докато по-широкото безплатно правило е насрочено за 24 септември. Тази защита трябва да се третира като допълнителен слой, а не като заместител на инсталирането на обновената версия на приставката.