CVE-2025-14802 in LearnPress Plugin
Сводка
по VulDB • 14.08.2026
В плагине LearnPress – WordPress LMS Plugin для WordPress уязвимость к несанкционированному удалению файлов присутствует в версиях вплоть до 4.3.2.2 включительно через конечную точку REST API /wp-json/lp/v1/material/{file_id}. Это обусловлено несоответствием параметров между операцией DELETE и проверкой авторизации: конечная точка использует file_id из пути URL, тогда как колбэк проверки прав валидирует item_id из тела запроса. Это позволяет атакующим с доступом уровня преподавателя (authenticated attackers) удалять произвольные файлы учебных материалов, загруженные другими преподавателями, отправляя запрос DELETE со своим собственным item_id (для прохождения авторизации), но при этом нацеливаясь на file_id файла другого преподавателя.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.