Veille sécuritéCMS & e-commerce
P4Moyenne
Tutor LMS présente une référence directe à un objet non sécurisée dans les routes API, permettant à certains utilisateurs authentifiés d’accéder à des contenus ou données qui ne leur sont pas destinés. L’exploitation exige une paire valide de clé et secret API Tutor LMS, accessible à des utilisateurs ayant au moins le rôle d’abonné.
WordPress
IdentifiantCVE-2026-93779
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93779
Analyse technique
La route init_routes ne valide pas correctement une clé contrôlée par l’utilisateur. Les données accessibles peuvent inclure le contenu de cours payants, des réponses de quiz et des informations de compte d’autres utilisateurs.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07; sa publication constitue l’événement retenu.
ImpactDes utilisateurs peuvent consulter des cours, réponses de quiz et données personnelles sans autorisation appropriée.
Versions affectéesToutes les versions jusqu’à 4.1.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,41% · percentile 35,1%
Publication2026-11-07T05:19:02.860Z
Mise à jour2026-11-08T19:17:43.610Z
Action recommandée
Mettre à jour Tutor LMS dès qu’une version corrigée est disponible et limiter la création et l’usage de clés API.
Sources
Priorisation DFS : P4 · 1 source(s).