🇰🇷 한글 설명
Tutor LMS WordPress 플러그인 3.9.13 미만 버전에서 퀴즈 시도에 대한 소유권 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 사용자가 다른 학생의 퀴즈 시도를 수정하거나 강제로 완료시켜 점수와 합격 여부를 조작할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 학생이 풀고 있는 시험 답안을 몰래 수정하거나 강제로 제출할 수 있는 보안 결함입니다. 이로 인해 시험 점수가 조작되어 성적 결과가 왜곡될 위험이 있습니다.
🇺🇸 원문 (English)
The Tutor LMS WordPress plugin before 3.9.13 does not verify ownership of the targeted quiz attempt before writing to it, allowing authenticated users with subscriber-level access and above to modify and force-complete other students' quiz attempts, overwriting their recorded marks and pass/fail result.
📍 영향받는 시스템
Tutor LMS WordPress plugin version < 3.9.13
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 권한 없는 퀴즈 시도 데이터에 직접 접근하여 수정 요청을 보내는 방식
🛡️ 대응 방법
Tutor LMS 플러그인을 최신 버전인 3.9.13 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 tutor-lms의 버전이 3.9.13 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'tutor-lms'