🇰🇷 한글 설명
Tutor LMS WordPress 플러그인 3.9.14 미만 버전에서 보호된 강의 콘텐츠에 대한 등록 확인 절차가 미흡한 취약점이 발견되었습니다. 이로 인해 최소 하나 이상의 강의에 등록된 구독자 권한 이상의 인증된 사용자가 자신이 등록하지 않은 다른 유료 강의의 레슨, 퀴즈 및 과제 콘텐츠를 볼 수 있습니다.
💡 쉬운 설명
유료 강의를 결제하지 않은 회원이라도, 다른 강의 하나만 듣고 있다면 다른 사람의 유료 강의 내용을 몰래 볼 수 있는 문제입니다. 권한 확인 과정이 제대로 이루어지지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
The Tutor LMS WordPress plugin before 3.9.14 does not properly verify enrollment when restricting access to protected course content, allowing authenticated users with subscriber-level access and above who are enrolled in at least one course to view paid lesson, quiz, and assignment content belonging to other courses.
📍 영향받는 시스템
Tutor LMS WordPress plugin version < 3.9.14
⚔️ 공격 벡터
인증된 사용자(구독자 이상)가 권한 검증을 우회하여 타인의 강의 콘텐츠 URL에 직접 접근
🛡️ 대응 방법
Tutor LMS 플러그인을 최신 버전인 3.9.14 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 tutor-lms의 버전이 3.9.14 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'tutor-lms'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access