CVE-2026-3360WordPress的Tutor LMS插件在3.9.7及之前版本中存在不安全的直接对象引用（IDOR）漏洞。由于`pay_incomplete_order()`函数缺失身份验证与授权检查，未认证攻击者可利用公开的nonce，通过构造包含恶意订单ID的POST请求，篡改任意拥有未完成订单用户的账单资料（姓名、邮箱、电话等）。
该漏洞源于`CheckoutController.php`中的`pay_incomplete_order()`函数直接处理用户传入的`order_id`参数，并依据该ID查询订单数据。系统随后将请求中的计费字段直接写入订单关联用户（`$order_data->user_id`）的资料中，且未验证请求者的身份或订单所有权。此外，由于Tutor nonce（`_tutor_nonce`）暴露在公共前端页面，攻击者无需登录即可绕过CSRF保护。攻击者只需枚举或猜测有效的未完成订单ID，并发送特制的POST请求，即可覆盖目标用户的个人配置信息。