Tutor LMS 的 CVE-2026-78175 於 2026 年 9 月 11 日公開。漏洞涉及已登入低權限帳戶的 PHP 物件注入，並可串連至遠端程式碼執行；同時開放註冊與 monetization 功能的線上課程網站，應優先安排更新。
不能省略登入與功能條件
受影響版本為 Tutor LMS 4.0.7 及更早版本，4.0.8 已修補。利用路徑需要 Subscriber 或更高權限帳戶，並啟用 monetization 功能。網站若開放任何人註冊，取得低權限帳戶可能很容易，但這仍不等同於完全無須驗證的漏洞。
課程站先確認實際版本與註冊方式
請在後台外掛列表核對版本，並確認公開註冊是否必要、預設角色是否正確，以及收費課程使用的金流整合。限制註冊有助降低暴露，不能代替外掛修補；已存在的低權限帳戶仍可能符合條件。
更新後保留課程與付款驗收
備份資料庫及上傳檔案後更新至 4.0.8 或之後已修補版本。再以測試帳戶檢查課程列表、購課、學習進度與教師後台。若網站有自訂課程或金流程式碼，應先在隔離環境核對相容性。帳戶權限與異常活動可交由維護者檢查，不必透過執行攻擊程式來確認是否更新。
事件公告日期：2026-09-11。依公告翌日編入事件時間線，於 2026 年 11 月 1 日補錄；本文按歸檔日已公開資訊整理。封面為 AI 生成的概念插畫。
參考資料
原文鏈接：https://wntheme.com/tutor-lms-object-injection/，轉載請註明出處。
