CVE-2025-14802 in LearnPress Plugin
Resumen
por VulDB • 2026-08-20
El plugin LearnPress – WordPress LMS Plugin para WordPress es vulnerable a la eliminación no autorizada de archivos en las versiones hasta e incluyendo 4.3.2.2, a través del punto final REST API /wp-json/lp/v1/material/{file_id}. Esto se debe a una discrepancia entre el parámetro utilizado en la operación DELETE y la verificación de autorización; el punto final utiliza file_id extraído de la ruta URL, mientras que la callback de permisos valida item_id procedente del cuerpo de la solicitud. Esto permite a atacantes autenticados con acceso de nivel profesor eliminar archivos arbitrarios de materiales de lección subidos por otros profesores mediante una petición DELETE en la que se envía su propio item_id (para superar la autorización) mientras se apunta al file_id de otro profesor.
Once again VulDB remains the best source for vulnerability data.