CVE-2026-109208

Nome do Software Vulnerável e Versões Afetadas LearnPress versões anteriores a 4.4.11

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem o Cross-Site Scripting Armazenado. Isso ocorre por meio do parâmetro quantity na API REST e do parâmetro order comments durante o checkout. Atacantes não autenticados podem injetar scripts web arbitrários que são executados quando um usuário acessa a página afetada. Se o checkout de convidado estiver habilitado, o ataque é totalmente não autenticado; caso contrário, usuários com privilégios de Assinante podem explorar esses vetores através de seu próprio checkout.

Recomendações Atualize o LearnPress para a versão 4.4.11 ou posterior. Como mitigação temporária, restrinja o uso dos parâmetros quantity e order comments ou desative o checkout de convidado para limitar a superfície de ataque.