CVE-2026-104736

Nome do Software Vulnerável e Versões Afetadas LearnPress versões anteriores a 4.4.11

Descrição Um invasor não autenticado pode realizar a Injeção de Objeto PHP enviando entradas não confiáveis através do parâmetro de requisição checkout-email durante a ação AJAX de checkout. A entrada é processada por sanitize text field(), que não remove a sintaxe de objeto serializado, e é posteriormente armazenada na tabela de sessão. Em requisições subsequentes, a função LP Session Handler::get() passa esses dados para LP Helper::maybe unserialize() e depois para unserialize() sem restringir as classes permitidas, permitindo a injeção de um Objeto PHP. A Injeção de Objeto PHP é uma técnica onde um invasor utiliza a desserialização de dados não confiáveis para manipular a lógica da aplicação ou executar código arbitrário.

Recomendações Atualize para a versão 4.4.11 ou posterior. Evite usar o parâmetro checkout-email na ação AJAX de checkout até que a atualização seja aplicada.