CVE-2026-12732

Nome do Software Vulnerável e Versões Afetadas LearnPress versões anteriores a 4.4.1

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes na função FilterCourseTemplate::sections(). Um invasor autenticado com nível de acesso de contribuidor ou superior pode injetar scripts web arbitrários através do atributo class wrapper form do shortcode class wrapper form. O problema surge porque o manipulador FilterCourseShortcode::render() não aplica a filtragem shortcode atts(), permitindo que atributos brutos do usuário sejam inseridos em um atributo de classe HTML via sprintf() sem o escape adequado de esc attr(). Esses scripts são executados sempre que um usuário visita a página afetada.

Recommendations Atualize o LearnPress para uma versão posterior à 4.4.0. Como medida de mitigação temporária, restrinja usuários com nível de acesso de contribuidor de criar ou editar páginas que contenham shortcodes.