LearnPress WordPress-Plugin: Nicht authentifizierte PHP Object Injection im Checkout

Zusammenfassung

LearnPress bis und mit Version 4.4.10 deserialisiert unvertrauenswürdige Eingaben aus dem Parameter checkout-email der Checkout-AJAX-Aktion. Ein nicht angemeldeter Angreifer kann ein PHP-Objekt einschleusen, das später vom Session-Handler unserialisiert wird. Je nach verfügbaren Gadget-Ketten in den installierten Plugins und Bibliotheken kann dies zur Ausführung von Code führen. Ein öffentlicher Proof of Concept existiert.

Betroffen

• LearnPress (WordPress-Plugin) bis und mit Version 4.4.10
• Unbekannt, ob frühere Versionen ausserhalb des genannten Bereichs gleichermassen betroffen sind

Behoben in

• Version 4.4.11 (aus Drittquellen; noch nicht gegen das Hersteller-Changelog bestätigt)

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Falls das Update verzögert wird, Gastbestellungen (Guest Checkout) einschränken oder vorübergehend deaktivieren.
• Anfragen an lp-ajax=checkout, die serialisierte PHP-Payloads enthalten, am WAF oder Reverse Proxy blockieren.

Ausnutzung

• Eine Ausnutzung ohne Authentifizierung ist möglich (CVSS 9.8, PR:N, UI:N).
• Ein öffentlicher Proof of Concept existiert.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog aufgeführt.
• Ob Remote Code Execution erreichbar ist, hängt von den installierten Plugins und Bibliotheken (Gadgets) ab.

Unsere Empfehlung

• Installierte LearnPress-Version prüfen und so rasch wie möglich auf 4.4.11 oder neuer aktualisieren.
• Falls das Update verzögert wird, die oben genannten Workarounds anwenden.
• Die LearnPress-Session-Tabelle auf ungewöhnliche serialisierte Daten prüfen.
• Webserver-Logs auf POST-Anfragen an lp-ajax=checkout von unbekannten IP-Adressen prüfen.
• Vor dem Update aktuelle Backups sicherstellen und weitere LearnPress-Sicherheitshinweise von 2026 prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-104736

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• Trac changeset 3750024 plugins.trac.wordpress.org
• Trac class-lp-session-handler.php (4.4.9.1) plugins.trac.wordpress.org
• Trac class-lp-checkout.php (4.4.9.1) plugins.trac.wordpress.org
• GitHub proof-of-concept repository github.com
• thehackerwire CVE-2026-104736 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:33.