{"id":66774,"date":"2026-09-21T20:00:31","date_gmt":"2026-09-21T17:00:31","guid":{"rendered":"https:\/\/b-share.com\/?p=66774"},"modified":"2026-09-18T16:42:46","modified_gmt":"2026-09-18T13:42:46","slug":"%d7%a4%d7%a8%d7%a6%d7%aa-%d7%90%d7%91%d7%98%d7%97%d7%94-%d7%a7%d7%a8%d7%99%d7%98%d7%99%d7%aa-%d7%91%d7%aa%d7%95%d7%a1%d7%a3-%d7%95%d7%95%d7%a8%d7%93%d7%a4%d7%a8%d7%a1-tutor-lms-%d7%9e%d7%90%d7%a4","status":"publish","type":"post","link":"https:\/\/b-share.com\/?p=66774","title":{"rendered":"\u05e4\u05e8\u05e6\u05ea \u05d0\u05d1\u05d8\u05d7\u05d4 \u05e7\u05e8\u05d9\u05d8\u05d9\u05ea \u05d1\u05ea\u05d5\u05e1\u05e3 \u05d5\u05d5\u05e8\u05d3\u05e4\u05e8\u05e1 Tutor LMS \u05de\u05d0\u05e4\u05e9\u05e8\u05ea \u05d4\u05e8\u05e6\u05ea \u05e7\u05d5\u05d3 \u05de\u05e8\u05d7\u05d5\u05e7 (CVE-2026-78175)"},"content":{"rendered":"<p>\u05e4\u05d2\u05d9\u05e2\u05d5\u05ea \u05d0\u05d1\u05d8\u05d7\u05d4 \u05d7\u05de\u05d5\u05e8\u05d4 \u05de\u05e1\u05d5\u05d2 PHP Object Injection, \u05d4\u05de\u05e1\u05d5\u05de\u05e0\u05ea \u05db-<a href=\"https:\/\/www.wordfence.com\/blog\/2026\/09\/100000-wordpress-sites-exposed-to-remote-code-execution-via-php-object-injection-vulnerability-found-by-wordfence-argus-in-tutor-lms\" target=\"_blank\" rel=\"noopener\">CVE-2026-78175<\/a>, \u05d4\u05ea\u05d2\u05dc\u05ea\u05d4 \u05d1\u05ea\u05d5\u05e1\u05e3 \u05e0\u05d9\u05d4\u05d5\u05dc \u05d4\u05dc\u05de\u05d9\u05d3\u05d4 \u05d4\u05e4\u05d5\u05e4\u05d5\u05dc\u05e8\u05d9 Tutor LMS \u05dc-WordPress.<\/p>\n<figure id=\"attachment_64717\" aria-describedby=\"caption-attachment-64717\" style=\"width: 500px\" class=\"wp-caption aligncenter\"><img decoding=\"async\" class=\"size-full wp-image-64717\" src=\"https:\/\/b-share.com\/wp-content\/uploads\/2026\/01\/2e0ded70bfb7475bace567a743a9b3d4.webp\" alt=\"\" width=\"500\" height=\"357\" \/><figcaption id=\"caption-attachment-64717\" class=\"wp-caption-text\">\u05dc\u05d5\u05d2\u05d5 \u05de\u05e2\u05e8\u05db\u05ea \u05e0\u05d9\u05d4\u05d5\u05dc \u05d4\u05ea\u05d5\u05db\u05df \u05d4\u05e4\u05d5\u05e4\u05d5\u05dc\u05e8\u05d9\u05ea \u05d1\u05e2\u05d5\u05dc\u05dd \u05d5\u05d5\u05e8\u05d3\u05e4\u05e8\u05e1 &#8211; WordPress. \u05e6\u05d9\u05dc\u05d5\u05dd \u05de\u05e1\u05da<\/figcaption><\/figure>\n<p>\u05d4\u05e4\u05e8\u05e6\u05d4, \u05e9\u05d6\u05db\u05ea\u05d4 \u05dc\u05d3\u05d9\u05e8\u05d5\u05d2 \u05d7\u05d5\u05de\u05e8\u05d4 \u05d2\u05d1\u05d5\u05d4 \u05e9\u05dc CVSS 8.8, \u05de\u05e9\u05e4\u05d9\u05e2\u05d4 \u05e2\u05dc \u05de\u05e2\u05dc 100,000 \u05d0\u05ea\u05e8\u05d9\u05dd \u05e4\u05e2\u05d9\u05dc\u05d9\u05dd \u05d5\u05de\u05d0\u05e4\u05e9\u05e8\u05ea \u05dc\u05ea\u05d5\u05e7\u05e4\u05d9\u05dd \u05dc\u05d4\u05e9\u05d9\u05d2 \u05d4\u05e8\u05e6\u05ea \u05e7\u05d5\u05d3 \u05de\u05e8\u05d7\u05d5\u05e7 (RCE) \u05d5\u05dc\u05d4\u05e9\u05ea\u05dc\u05d8 \u05d1\u05d0\u05d5\u05e4\u05df \u05de\u05dc\u05d0 \u05e2\u05dc \u05e9\u05e8\u05ea \u05d4\u05d0\u05d7\u05e1\u05d5\u05df.<!--more--><\/p>\n<h2>\u05de\u05e0\u05d2\u05e0\u05d5\u05df \u05d4\u05e0\u05d9\u05e6\u05d5\u05dc \u05d5\u05d4\u05db\u05e9\u05dc \u05d4\u05d8\u05db\u05e0\u05d9<\/h2>\n<p><span style=\"text-decoration: underline;\">\u05d4\u05db\u05e9\u05dc \u05e0\u05d5\u05d1\u05e2 \u05de\u05e9\u05d9\u05dc\u05d5\u05d1 \u05e9\u05dc \u05d1\u05e7\u05e8\u05ea \u05d4\u05e8\u05e9\u05d0\u05d5\u05ea \u05dc\u05e7\u05d5\u05d9\u05d4 \u05d5\u05d8\u05d9\u05e4\u05d5\u05dc \u05e9\u05d2\u05d5\u05d9 \u05d1\u05e1\u05e8\u05d9\u05d0\u05dc\u05d9\u05d6\u05e6\u05d9\u05d4 \u05e9\u05dc \u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05d1\u05e2\u05ea \u05e7\u05e8\u05d9\u05d0\u05d5\u05ea AJAX<\/span>:<\/p>\n<ul>\n<li><strong>\u05d4\u05d9\u05e2\u05d3\u05e8 \u05d1\u05d3\u05d9\u05e7\u05ea \u05d4\u05e8\u05e9\u05d0\u05d5\u05ea (Missing Role Check)<\/strong>: \u05e8\u05db\u05d9\u05d1 \u05d4-AJAX \u05d1\u05e9\u05dd tutor_save_withdraw_account \u05de\u05e1\u05ea\u05de\u05da \u05e2\u05dc \u05d8\u05d5\u05e7\u05df Nonce \u05d1\u05dc\u05d1\u05d3 \u05d5\u05d0\u05d9\u05e0\u05d5 \u05de\u05d1\u05e6\u05e2 \u05d1\u05d3\u05d9\u05e7\u05ea \u05ea\u05e4\u05e7\u05d9\u05d3 \u05d0\u05d5 \u05d4\u05e8\u05e9\u05d0\u05d5\u05ea (Capability Check) \u05dc\u05de\u05e9\u05ea\u05de\u05e9 \u05d4\u05de\u05d1\u05e6\u05e2 \u05d0\u05ea \u05d4\u05e4\u05e2\u05d5\u05dc\u05d4.<\/li>\n<li><strong>\u05e9\u05d9\u05d1\u05d5\u05e9 \u05de\u05d7\u05e8\u05d5\u05d6\u05d5\u05ea \u05de\u05d1\u05d5\u05e1\u05e1 esc_sql()<\/strong>: \u05e7\u05dc\u05d8 \u05d4\u05de\u05e9\u05ea\u05de\u05e9 \u05de\u05d5\u05e2\u05d1\u05e8 \u05d3\u05e8\u05da \u05d4\u05e4\u05d5\u05e0\u05e7\u05e6\u05d9\u05d4 esc_sql(), \u05d4\u05de\u05d7\u05dc\u05d9\u05e4\u05d4 \u05db\u05dc \u05ea\u05d5 % \u05d1\u05d8\u05d5\u05e7\u05df HMAC \u05d6\u05de\u05e0\u05d9 \u05d1\u05d0\u05d5\u05e8\u05da 66 \u05d1\u05ea\u05d9\u05dd. \u05db\u05d0\u05e9\u05e8 \u05d4\u05de\u05d9\u05d3\u05e2 \u05e0\u05e9\u05de\u05e8 \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea update_user_meta() \u05d5\u05e2\u05d5\u05d1\u05e8 \u05e1\u05e8\u05d9\u05d0\u05dc\u05d9\u05d6\u05e6\u05d9\u05d4, \u05d0\u05d5\u05e8\u05da \u05d4\u05de\u05d7\u05e8\u05d5\u05d6\u05ea \u05de\u05d7\u05d5\u05e9\u05d1 \u05d1\u05d0\u05d5\u05e4\u05df \u05e9\u05d2\u05d5\u05d9.<\/li>\n<li><strong>\u05d4\u05d6\u05e8\u05e7\u05ea \u05d0\u05d5\u05d1\u05d9\u05d9\u05e7\u05d8\u05d9\u05dd (Object Injection)<\/strong>: \u05d1\u05e2\u05ea \u05e9\u05dc\u05d9\u05e4\u05ea \u05d4\u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05de\u05d7\u05d3\u05e9 \u05d5\u05d4\u05e4\u05e2\u05dc\u05ea unserialize(), \u05d4\u05e0\u05d9\u05e7\u05d5\u05d9 \u05de\u05d7\u05d6\u05d9\u05e8 \u05d0\u05ea \u05d4\u05d8\u05d5\u05e7\u05e0\u05d9\u05dd \u05dc\u05ea\u05d5 % \u05d9\u05d7\u05d9\u05d3. \u05d4\u05d4\u05ea\u05db\u05d5\u05d5\u05e6\u05d5\u05ea \u05d1\u05d0\u05d5\u05e8\u05da \u05d4\u05de\u05d7\u05e8\u05d5\u05d6\u05ea \u05d9\u05d5\u05e6\u05e8\u05ea \u05e4\u05e2\u05e8 \u05d1\u05d6\u05d9\u05db\u05e8\u05d5\u05df \u05d4\u05de\u05d5\u05d2\u05d3\u05e8, \u05de\u05d4 \u05e9\u05de\u05d0\u05e4\u05e9\u05e8 \u05dc\u05ea\u05d5\u05e7\u05e3 \u05dc\u05d7\u05e8\u05d5\u05d2 \u05de\u05d2\u05d1\u05d5\u05dc\u05d5\u05ea \u05d4\u05de\u05e9\u05ea\u05e0\u05d4 \u05d5\u05dc\u05d4\u05d6\u05e8\u05d9\u05e7 \u05d0\u05d5\u05d1\u05d9\u05d9\u05e7\u05d8\u05d9 PHP \u05de\u05d5\u05ea\u05d0\u05de\u05d9\u05dd \u05d0\u05d9\u05e9\u05d9\u05ea.<\/li>\n<li><strong>\u05d4\u05e8\u05e6\u05ea \u05e7\u05d5\u05d3 \u05d3\u05e8\u05da \u05e9\u05e8\u05e9\u05e8\u05ea POP<\/strong>: \u05d4\u05ea\u05d5\u05e7\u05e3 \u05de\u05e0\u05e6\u05dc \u05d0\u05ea \u05d4-Autoloader \u05e9\u05dc \u05d4\u05ea\u05d5\u05e1\u05e3 \u05db\u05d3\u05d9 \u05dc\u05d4\u05e4\u05e2\u05d9\u05dc \u05e9\u05e8\u05e9\u05e8\u05ea Property-Oriented Programming \u05d1\u05de\u05d7\u05dc\u05e7\u05d4 GuzzleHttp\\Cookie\\FileCookieJar (\u05d4\u05db\u05dc\u05d5\u05dc\u05d4 \u05d1\u05e1\u05e4\u05e8\u05d9\u05d9\u05ea PayPal \u05d4\u05de\u05e6\u05d5\u05e8\u05e4\u05ea \u05dc\u05ea\u05d5\u05e1\u05e3), \u05d5\u05d1\u05db\u05da \u05dc\u05d9\u05d9\u05e6\u05e8 \u05e7\u05d5\u05d1\u05e5 \u05d6\u05d3\u05d5\u05e0\u05d9 \u05d1\u05e9\u05e8\u05ea \u05d5\u05dc\u05d4\u05e8\u05d9\u05e5 \u05e7\u05d5\u05d3 \u05e9\u05e8\u05ea\u05d9 \u05de\u05dc\u05d0.<\/li>\n<\/ul>\n<h2>\u05e0\u05ea\u05d9\u05d1\u05d9 \u05ea\u05e7\u05d9\u05e4\u05d4 \u05d5\u05e8\u05de\u05ea \u05e1\u05d9\u05db\u05d5\u05df<\/h2>\n<ul>\n<li><strong>\u05ea\u05d5\u05e7\u05e4\u05d9\u05dd \u05e8\u05e9\u05d5\u05de\u05d9\u05dd (Subscriber+)<\/strong>: \u05db\u05dc \u05de\u05e9\u05ea\u05de\u05e9 \u05e8\u05e9\u05d5\u05dd \u05d1\u05de\u05e2\u05e8\u05db\u05ea, \u05db\u05d5\u05dc\u05dc \u05ea\u05dc\u05de\u05d9\u05d3\u05d9\u05dd \u05d1\u05d3\u05e8\u05d2\u05ea \u05d4\u05d4\u05e8\u05e9\u05d0\u05d4 \u05d4\u05d1\u05e1\u05d9\u05e1\u05d9\u05ea \u05d1\u05d9\u05d5\u05ea\u05e8, \u05d9\u05db\u05d5\u05dc \u05dc\u05e0\u05e6\u05dc \u05d0\u05ea \u05d4\u05e4\u05e8\u05e6\u05d4 \u05d1\u05d0\u05d5\u05e4\u05df \u05d9\u05e9\u05d9\u05e8.<\/li>\n<li><strong>\u05ea\u05d5\u05e7\u05e4\u05d9\u05dd \u05d0\u05e0\u05d5\u05e0\u05d9\u05de\u05d9\u05d9\u05dd (Unauthenticated)<\/strong>: \u05d1\u05de\u05d9\u05d3\u05d4 \u05d5\u05d4\u05e8\u05e9\u05de\u05ea \u05de\u05e9\u05ea\u05de\u05e9\u05d9\u05dd \u05e4\u05ea\u05d5\u05d7\u05d4 \u05d1\u05d0\u05ea\u05e8 \u05d5\u05d9\u05db\u05d5\u05dc\u05ea \u05d4-Monetization \u05de\u05d5\u05e4\u05e2\u05dc\u05ea \u05d1\u05ea\u05d5\u05e1\u05e3 (\u05de\u05e6\u05d1 \u05e9\u05db\u05d9\u05d7 \u05d1\u05d0\u05ea\u05e8\u05d9 \u05e7\u05d5\u05e8\u05e1\u05d9\u05dd), \u05ea\u05d5\u05e7\u05e3 \u05d0\u05e0\u05d5\u05e0\u05d9\u05de\u05d9 \u05d9\u05db\u05d5\u05dc \u05dc\u05d4\u05d9\u05e8\u05e9\u05dd \u05d0\u05d5\u05d8\u05d5\u05de\u05d8\u05d9\u05ea \u05d5\u05dc\u05d1\u05e6\u05e2 \u05d0\u05ea \u05d4\u05ea\u05e7\u05d9\u05e4\u05d4 \u05d1\u05d0\u05d5\u05e4\u05df \u05de\u05d9\u05d9\u05d3\u05d9.<\/li>\n<\/ul>\n<h2>\u05d4\u05de\u05dc\u05e6\u05d5\u05ea \u05d5\u05e6\u05e2\u05d3\u05d9 \u05de\u05e0\u05d9\u05e2\u05d4<\/h2>\n<ul>\n<li><strong>\u05e2\u05d3\u05db\u05d5\u05df \u05d3\u05d7\u05d5\u05e3<\/strong>: \u05d4\u05d7\u05d1\u05e8\u05d4 \u05d4\u05de\u05e4\u05ea\u05d7\u05ea (Themeum) \u05e9\u05d7\u05e8\u05e8\u05d4 \u05ea\u05d9\u05e7\u05d5\u05df \u05e8\u05e9\u05de\u05d9. \u05d9\u05e9 \u05dc\u05e2\u05d3\u05db\u05df \u05d0\u05ea \u05d4\u05ea\u05d5\u05e1\u05e3 Tutor LMS \u05dc\u05d2\u05e8\u05e1\u05d4 4.0.8 \u05d5\u05de\u05e2\u05dc\u05d4 \u05d1\u05d0\u05d5\u05e4\u05df \u05de\u05d9\u05d9\u05d3\u05d9.<\/li>\n<\/ul>\n<p><span style=\"text-decoration: underline;\">\u05e6\u05e2\u05d3\u05d9 \u05e6\u05de\u05e6\u05d5\u05dd \u05e1\u05d9\u05db\u05d5\u05df \u05d6\u05de\u05e0\u05d9\u05d9\u05dd (\u05d0\u05dd \u05dc\u05d0 \u05e0\u05d9\u05ea\u05df \u05dc\u05e2\u05d3\u05db\u05df)<\/span>:<\/p>\n<ol>\n<li>\u05d1\u05d9\u05d8\u05d5\u05dc \u05d4\u05e8\u05e9\u05de\u05ea \u05de\u05e9\u05ea\u05de\u05e9\u05d9\u05dd \u05d7\u05d3\u05e9\u05d9\u05dd \u05d1\u05d0\u05ea\u05e8 \u05d1\u05de\u05d9\u05d3\u05d4 \u05d5\u05d0\u05d9\u05e0\u05d4 \u05d4\u05db\u05e8\u05d7\u05d9\u05ea.<\/li>\n<li>\u05db\u05d9\u05d1\u05d5\u05d9 \u05ea\u05db\u05d5\u05e0\u05ea \u05d4-Monetization \u05d1\u05d4\u05d2\u05d3\u05e8\u05d5\u05ea \u05d4\u05ea\u05d5\u05e1\u05e3 \u05db\u05d3\u05d9 \u05dc\u05d7\u05e1\u05d5\u05dd \u05d0\u05ea \u05e0\u05ea\u05d9\u05d1 \u05d4\u05ea\u05e7\u05d9\u05e4\u05d4 \u05d4\u05dc\u05d0-\u05de\u05d0\u05d5\u05de\u05ea.<\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"<p>\u05e4\u05d2\u05d9\u05e2\u05d5\u05ea \u05d0\u05d1\u05d8\u05d7\u05d4 \u05d7\u05de\u05d5\u05e8\u05d4 \u05de\u05e1\u05d5\u05d2 PHP Object Injection, \u05d4\u05de\u05e1\u05d5\u05de\u05e0\u05ea \u05db-CVE-2026-78175, \u05d4\u05ea\u05d2\u05dc\u05ea\u05d4 \u05d1\u05ea\u05d5\u05e1\u05e3 \u05e0\u05d9\u05d4\u05d5\u05dc \u05d4\u05dc\u05de\u05d9\u05d3\u05d4 \u05d4\u05e4\u05d5\u05e4\u05d5\u05dc\u05e8\u05d9 Tutor LMS \u05dc-WordPress. \u05d4\u05e4\u05e8\u05e6\u05d4, \u05e9\u05d6\u05db\u05ea\u05d4 \u05dc\u05d3\u05d9\u05e8\u05d5\u05d2 \u05d7\u05d5\u05de\u05e8\u05d4 \u05d2\u05d1\u05d5\u05d4 \u05e9\u05dc CVSS 8.8, \u05de\u05e9\u05e4\u05d9\u05e2\u05d4 \u05e2\u05dc \u05de\u05e2\u05dc 100,000 \u05d0\u05ea\u05e8\u05d9\u05dd \u05e4\u05e2\u05d9\u05dc\u05d9\u05dd \u05d5\u05de\u05d0\u05e4\u05e9\u05e8\u05ea \u05dc\u05ea\u05d5\u05e7\u05e4\u05d9\u05dd \u05dc\u05d4\u05e9\u05d9\u05d2 \u05d4\u05e8\u05e6\u05ea \u05e7\u05d5\u05d3 \u05de\u05e8\u05d7\u05d5\u05e7 (RCE) \u05d5\u05dc\u05d4\u05e9\u05ea\u05dc\u05d8 \u05d1\u05d0\u05d5\u05e4\u05df \u05de\u05dc\u05d0 \u05e2\u05dc \u05e9\u05e8\u05ea \u05d4\u05d0\u05d7\u05e1\u05d5\u05df. \u05de\u05e0\u05d2\u05e0\u05d5\u05df \u05d4\u05e0\u05d9\u05e6\u05d5\u05dc \u05d5\u05d4\u05db\u05e9\u05dc \u05d4\u05d8\u05db\u05e0\u05d9 \u05d4\u05db\u05e9\u05dc \u05e0\u05d5\u05d1\u05e2 \u05de\u05e9\u05d9\u05dc\u05d5\u05d1 \u05e9\u05dc \u05d1\u05e7\u05e8\u05ea \u05d4\u05e8\u05e9\u05d0\u05d5\u05ea \u05dc\u05e7\u05d5\u05d9\u05d4 &hellip;<\/p>\n","protected":false},"author":84,"featured_media":64717,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_post_was_ever_published":false},"categories":[18933],"tags":[18707,19907,19430,18593,18082,17274],"class_list":["post-66774","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-18933","tag-rce","tag-tutor-lms","tag-wordpress","tag-18593","tag-18082","tag-17274"],"jetpack_shortlink":"https:\/\/wp.me\/p3m3yJ-hn0","jetpack_sharing_enabled":true,"jetpack_featured_media_url":"https:\/\/b-share.com\/wp-content\/uploads\/2026\/01\/2e0ded70bfb7475bace567a743a9b3d4.webp","_links":{"self":[{"href":"https:\/\/b-share.com\/index.php?rest_route=\/wp\/v2\/posts\/66774","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/b-share.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/b-share.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/b-share.com\/index.php?rest_route=\/wp\/v2\/users\/84"}],"replies":[{"embeddable":true,"href":"https:\/\/b-share.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=66774"}],"version-history":[{"count":0,"href":"https:\/\/b-share.com\/index.php?rest_route=\/wp\/v2\/posts\/66774\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/b-share.com\/index.php?rest_route=\/wp\/v2\/media\/64717"}],"wp:attachment":[{"href":"https:\/\/b-share.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=66774"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/b-share.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=66774"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/b-share.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=66774"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}