Vulnerabilidad · Publicado 17/10/2026
El plugin LearnPress (versiones ≤4.4.10) permite inyección de objetos PHP mediante deserialización de entrada no confiable en el parámetro 'checkout-email' durante acciones AJAX de pago. Un atacante puede ejecutar código arbitrario en servidores WordPress utilizados en plataformas educativas y tiendas online en LATAM. La vulnerabilidad persiste porque sanitize_text_field() no elimina la sintaxis de objetos serializados, permitiendo almacenamiento malicioso en tablas de sesión de LearnPress.
The LearnPress plugin for WordPress is vulnerable to PHP Object Injection in versions up to, and including, 4.4.10 via deserialization of untrusted input from the 'checkout-email' request parameter during the checkout AJAX action. The value is passed through sanitize_text_field(), which does not strip serialized object syntax, then stored in the LearnPress session table and later fed to LP_Helper::maybe_unserialize() → unserialize() (without an allowed_classes restriction) by LP_Session_Handler::get() on subsequent requests. This makes it possible for unauthenticated attackers to inject a PHP Object.
Score: 9.8/10 — Severidad: CRITICAL — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-502
Publicado en NIST NVD.