CVE-2026-78175

Wtyczka Tutor LMS – eLearning i rozwiązanie kursów online dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach aż do 4.0.7 włącznie poprzez parametr `withdraw_method_field` procedury obsługi AJAX `tutor_save_withdraw_account`. Dzieje się tak dlatego, że procedura obsługi nie ma żadnych możliwości ani nie sprawdza roli, opiera się wyłącznie na wartości jednorazowej, a jednocześnie przekazuje wartości dostarczone przez atakującego przez funkcję `esc_sql()`, która zastępuje każdy znak `%` 66-bajtowym tokenem zastępczym HMAC, zanim dane zostaną serializowane i przechowywane za pomocą funkcji `update_user_meta()`; kiedy meta jest później pobierana, symbol zastępczy jest zwijany z powrotem do pojedynczego `%`, pozostawiając deklaracje długości serializowanego ciągu o 65 bajtów większe niż rzeczywista zawartość, a ponieważ klucze tablicy pochodzą z całkowicie niezmienionych nazw pól POST, `unserialize()` powoduje nadmierne odczytanie bajtów kontrolowanych przez atakującego, umożliwiając wstrzyknięcie dowolnego serializowanego strumienia obiektów. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyższym, zdalne wykonanie kodu na serwerze poprzez uruchomienie łańcucha POP `GuzzleHttp\Cookie\FileCookieJar`, osiągalnego poprzez moduł ładujący `spl_autoload_register` w `TUTOR\RestAPI`, który ładuje dołączony do wtyczki moduł automatycznego ładowania PayPal Composer i zapisuje zawartość kontrolowaną przez osobę atakującą do określonego przez osobę atakującą nazwa pliku. Ma to nieuwierzytelnioną ścieżkę, gdy włączona jest rejestracja użytkownika, co jest typowe dla uczniów i nauczycieli, którzy się rejestrują, i wymaga włączenia funkcji monetyzacji.