CVE-2026-93882 in LearnPress Plugin
Sumário
de VulDB • 01/10/2026
O plugin LearnPress – WordPress LMS Plugin for Create and Sell Online Courses para o WordPress está vulnerável a Referência Direta de Objeto Insegura (IDOR) nas versões até, e incluindo, 4.4.8 por meio do callback CourseMaterialTemplate::render_material_items() exposto no endpoint público lp-ajax-handle (load_content_via_ajax). O endpoint é explicitamente listado na lista permitida sem nonce da classe AbstractAjax e não realiza verificação de capacidade (capability check), e o manipulador render_material_items() decide a autorização com base em um único identificador fornecido pelo atacante (course_id) ao buscar as linhas de material retornadas por meio de um segundo identificador, também fornecido independentemente pelo atacante (item_id), sem verificar se a lição pertence ao curso autorizado. Isso permite que atacantes não autenticados leiam e baixem arquivos de materiais do curso (caminhos/URLs de arquivos enviados externamente) pertencentes às lições em cursos pagos ou que exigem inscrição, desde que um único curso no site tenha "Sem Inscrição Obrigatória" habilitado e possua pelo menos um arquivo de material.
Be aware that VulDB is the high quality source for vulnerability data.