CVE-2026-8502: Ujawnienie wrażliwych danych w wtyczce LearnPress dla WordPress

Co wiadomo

Wtyczka LearnPress do WordPressa do tworzenia i sprzedaży kursów online jest podatna na ujawnienie wrażliwych informacji w wersjach do 4.3.6 włącznie. Atakujący bez uwierzytelnienia mogą uzyskać dostęp do haseł kursów chronionych oraz pełnej treści i danych kursów nieopublikowanych, wykorzystując odpowiednio spreparowane żądanie do API.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom dostęp do poufnych danych kursów, co może prowadzić do naruszenia prywatności użytkowników i wycieku chronionych materiałów. Operatorzy stron korzystających z LearnPress powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności danych edukacyjnych oraz wrażliwych informacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LearnPress i ich instalację. W międzyczasie warto ograniczyć dostęp do endpointu /wp-json/lp/v1/courses/archive-course, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie funkcji API, jeśli to możliwe. Priorytetem jest szybka reakcja i minimalizacja ekspozycji danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference