A vulnerabilidade Tutor LMS identificada em um plugin presente em mais de 100.000 sites WordPress pode permitir que invasores executem código remotamente nos servidores. O problema foi descoberto em 23 de agosto de 2026 pelo Wordfence Argus, agente de pesquisa baseado em inteligência artificial, e afeta instalações do Tutor LMS até a versão 4.0.7.
Na prática, um atacante autenticado com acesso de assinante ou superior consegue explorar uma falha de PHP Object Injection. Como o Tutor LMS é voltado a matrículas e cursos online, muitos sites mantêm o cadastro aberto para estudantes e professores. Dessa forma, a exigência de autenticação pode ser facilmente atendida por visitantes que conseguem criar uma conta.
Vulnerabilidade Tutor LMS tem classificação alta
De acordo com o levantamento da Wordfence Intelligence, a falha recebeu pontuação 8.8 (High) no CVSS e foi registrada sob o identificador CVE-2026-78175. O problema está relacionado ao parâmetro withdraw_method_field, utilizado pelo manipulador AJAX tutor_save_withdraw_account.
- Software afetado: Tutor LMS – eLearning and online course solution [tutor]
- Versões vulneráveis: <= 4.0.7
- Versão corrigida: 4.0.8
- Classificação CVSS: 8.8 (High)
- CVE-ID: CVE-2026-78175
- Pesquisadora: Chloe Chamberland, do Wordfence Argus
A exploração depende da ativação do recurso de monetização. Ainda assim, quando o registro de usuários está habilitado, há um caminho que pode começar sem autenticação prévia: o visitante se cadastra como assinante e, depois, utiliza a sessão criada para acessar a função vulnerável.
Como a falha no plugin pode ser explorada
O ponto de entrada está no arquivo classes/Withdraw.php. O manipulador AJAX verifica apenas um nonce, sem confirmar se o usuário tem capacidade ou função compatível com a operação. Esse nonce é disponibilizado nas páginas do site por meio do wp_localize_script, permitindo que um assinante autenticado o obtenha ao carregar a página inicial.
O problema se agrava porque os nomes dos campos enviados pelo usuário não são devidamente limitados ou sanitizados. Esses dados são incorporados a uma estrutura posteriormente armazenada em metadados do usuário. Além disso, o plugin aplica esc_sql() a valores destinados ao update_user_meta(), em vez de utilizá-los em uma consulta SQL bruta.
Esse uso provoca uma interação incomum entre a camada de banco de dados do WordPress e o mecanismo de serialização do PHP. O caractere de porcentagem é substituído temporariamente por um marcador HMAC de 66 bytes antes da serialização. Quando o valor é recuperado, o marcador volta a ser um único caractere, mas os comprimentos registrados na estrutura serializada permanecem maiores que o conteúdo real.
Com o tamanho dos dados descompassado, o processo de unserialize() pode avançar sobre bytes controlados pelo invasor e aceitar um fluxo de objetos serializados arbitrário. A cadeia de exploração alcança a classe GuzzleHttpCookieFileCookieJar, por meio do carregador spl_autoload_register disponível em TUTORRestAPI. O resultado pode ser a gravação de conteúdo controlado pelo atacante em um nome de arquivo escolhido por ele e, consequentemente, a execução remota de código.
Correção já está disponível
A equipe do Wordfence comunicou o problema à Themeum pelo Wordfence Vulnerability Management Portal em 23 de agosto de 2026, mesma data em que o relatório foi recebido e validado. A empresa responsável pelo plugin confirmou a falha em 24 de agosto de 2026 e publicou a versão corrigida, 4.0.8, em 10 de setembro de 2026.
Usuários do Wordfence Premium, Wordfence Care e Wordfence Response receberam uma regra de firewall contra explorações conhecidas em 25 de agosto de 2026. Para quem utiliza a versão gratuita do Wordfence, a mesma proteção será disponibilizada 30 dias depois, em 24 de setembro de 2026.
Por isso, a recomendação é atualizar imediatamente o Tutor LMS para a versão 4.0.8, indicada como a versão corrigida no momento da publicação. A atualização reduz o risco associado à vulnerabilidade Tutor LMS e deve ser acompanhada da verificação das configurações de registro, monetização e contas existentes no site.
Com informações de wordfence.com.
