Уязвимость в Tutor LMS позволяет выполнить код на 100 000 сайтах WordPress

Уязвимость PHP Object Injection в Tutor LMS позволяет выполнять код

Wordfence обнаружил уязвимость PHP Object Injection в плагине Tutor LMS для WordPress. Уязвимость затрагивает все версии плагина до 4.0.8. Эксплуатация позволяет злоумышленнику с правами подписчика выполнить произвольный код на сервере. Плагин Tutor LMS используется более чем на 100 000 сайтов WordPress. Он предназначен для создания онлайн-курсов и систем обучения.

Уязвимость затрагивает версии до 4.0.8, патч доступен

Уязвимость CVE-2026-78175 присутствует во всех версиях Tutor LMS, включая 4.0.7. Проблема заключается в обработке параметра withdraw_method_field в AJAX-обработчике tutor_save_withdraw_account. Обработчик не проверяет права доступа пользователя, полагаясь только на nonce. Злоумышленник может внедрить сериализованные данные, которые при десериализации вызывают выполнение кода. Уязвимость эксплуатирует взаимодействие между уровнем абстракции базы данных WordPress и механизмом сериализации PHP. Для успешной эксплуатации требуется, чтобы на сайте была включена регистрация пользователей и функция монетизации.

Wordfence Premium, Wordfence Care и Wordfence Response получили правило межсетевого экрана для защиты от эксплойтов 25 августа 2026 года. Пользователи бесплатной версии Wordfence получат защиту 24 сентября 2026 года. Разработчик плагина, команда Themeum, выпустила исправленную версию 4.0.8 10 сентября 2026 года. Wordfence передал детали уязвимости команде Themeum 23 августа 2026 года.

Обновитесь до версии 4.0.8

Администраторам сайтов WordPress с установленным плагином Tutor LMS рекомендуется как можно скорее обновить его до последней версии 4.0.8. Это устранит уязвимость PHP Object Injection и предотвратит возможность выполнения произвольного кода на сервере. Также рекомендуется установить защитное правило межсетевого экрана от Wordfence, если вы используете их продукты.

Источник: Wordfence