CVE-2025-14802 in LearnPress Plugin
Sumário
de VulDB • 14/08/2026
O plugin LearnPress – WordPress LMS Plugin para WordPress é vulnerável à exclusão não autorizada de arquivos nas versões até 4.3.2.2, inclusive, por meio do endpoint da API REST /wp-json/lp/v1/material/{file_id}. Isso ocorre devido a uma incompatibilidade de parâmetros entre a operação DELETE e a verificação de autorização, em que o endpoint utiliza file_id no caminho da URL, mas o callback de permissões valida item_id no corpo da solicitação. Isso permite que atacantes autenticados com acesso nível professor excluam arquivos arbitrários de material de aula carregados por outros professores enviando uma solicitação DELETE com seu próprio item_id (para passar na autorização) enquanto visam um file_id pertencente a outro professor.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.