O LearnPress é um plugin de gestão de aprendizagem gratuita que serve para criação de cursos e ainda de venda de sites.
Foram encontradas três falhas:
CVE-2022-47615: falha de inclusão de ficheiro local no endpoint inc/rest-api/v1/frontend/class-lp-rest-courses-controller.php function list_courses. O atacante podia listar o conteúdo de ficheiros locais
CVE-2022-45808: Injeção de sql no endpoint inc/databases/class-lp-db.php function execute. Com esta falha, o atacante podia aceder à base de dados dos sites afetados, roubar informação entre outros
CVE-2022-45820: injeção de sql, desta feita, de forma autenticada, no learn_press_recent_courses e no learn_press_featured_courses
Solução
Atualizar para a versão 4.2.0
Mais informações: https://patchstack.com/articles/multiple-critical-vulnerabilities-fixed-in-learnpress-plugin-version/
Atualizar o learnpress: https://docspress.thimpress.com/upgrade-database-how-to-fix-some-issue/
Comments