CVE-2026-110284

Nome do Software Vulnerável e Versões Afetadas LifterLMS – WP LMS for eLearning, Online Courses, & Quizzes versões anteriores a 10.3.2

Descrição Existe um problema onde usuários autenticados com nível de acesso de Instrutor ou superior podem realizar a Inclusão de Arquivos Locais (Local File Inclusion). Isso ocorre porque a função llms get template() utiliza extract() nos atributos do shortcode [lifterlms checkout] antes de resolver o caminho do template. Ao manipular os atributos template name e default path, um invasor pode sobrescrever parâmetros locais e controlar o caminho passado para um include do PHP. Isso pode levar à execução de arquivos arbitrários no servidor, ignorando controles de acesso, expondo dados sensíveis ou permitindo a execução de código remoto caso arquivos contendo conteúdo malicioso sejam carregados.

Recomendações Atualize o LifterLMS – WP LMS for eLearning, Online Courses, & Quizzes para a versão 10.3.2 ou posterior.