CVE-2026-104736: Inyección de objetos PHP en LearnPress

Qué es la vulnerabilidad

La CVE-2026-104736 es una vulnerabilidad de inyección de objetos PHP (PHP Object Injection), una técnica que explota la deserialización insegura de datos. En este caso, el plugin LearnPress, en versiones hasta la 4.4.10, no valida ni restringe adecuadamente la entrada del usuario antes de pasarla a la función unserialize() de PHP.

El flujo de la vulnerabilidad es el siguiente:

1. Un atacante envía una petición AJAX al proceso de checkout del plugin, manipulando el parámetro checkout-email.
2. El valor de este parámetro se procesa con la función sanitize_text_field(), que no elimina la sintaxis de objetos serializados de PHP.
3. El valor, ya manipulado, se almacena en la tabla de sesiones de LearnPress.
4. En una petición posterior, el valor almacenado se recupera y se pasa a la función LP_Helper::maybe_unserialize(), que a su vez llama a unserialize() sin restricciones de clases permitidas (allowed_classes).

Este proceso permite a un atacante no autenticado inyectar un objeto PHP malicioso. Dependiendo de las clases disponibles en el sistema (gadgets), la inyección puede derivar en la ejecución de código arbitrario, lectura de archivos sensibles, o incluso la toma completa del control del sitio web.

La causa raíz es la falta de una política segura de deserialización. La función unserialize() en PHP es inherentemente peligrosa si se utiliza con datos no confiables, y en este caso, no se ha aplicado una lista blanca de clases, lo que amplifica el riesgo. La vulnerabilidad está clasificada bajo la CWE-502 (Deserialization of Untrusted Data).

Productos y versiones vulnerables

La vulnerabilidad afecta al plugin LearnPress – WordPress LMS Plugin for Create and Sell Online Courses de ThimPress. Según la información publicada por CVE.org, todas las versiones del plugin hasta la 4.4.10 inclusive se consideran afectadas. No se ha publicado información sobre versiones anteriores específicas que estén exentas del problema, por lo que cualquier instalación con una versión igual o anterior a la 4.4.10 debe considerarse en riesgo.

No se ha publicado información sobre versiones corregidas o parches específicos en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante y el repositorio de cambios del plugin para obtener detalles sobre la actualización disponible.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una puntuación CVSS v3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la vulnerabilidad sin necesidad de interacción del usuario, con un impacto total en la confidencialidad, integridad y disponibilidad del sistema.

El fallo se origina en una inyección de objetos PHP (CWE-502: Deserialization of Untrusted Data). El parámetro checkout-email, enviado durante la acción AJAX de checkout, se procesa mediante sanitize_text_field(), que no elimina la sintaxis de objetos serializados. El valor se almacena en la tabla de sesiones de LearnPress y posteriormente se pasa a LP_Helper::maybe_unserialize() y a unserialize() sin restricción de clases permitidas, a través de LP_Session_Handler::get() en peticiones posteriores.

La explotación exitosa podría permitir a un atacante no autenticado inyectar objetos PHP arbitrarios, lo que puede derivar en ejecución de código remoto, lectura o modificación de datos sensibles, o compromiso total del sitio WordPress. Dado que el plugin se utiliza en entornos de aprendizaje en línea, el impacto podría extenderse a datos de usuarios, cursos y credenciales almacenadas.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se ha incluido ningún dato sobre campañas de ataque, malware asociado o uso en ransomware. El campo ransomware del contexto indica «No usado como criterio», lo que refuerza que no hay evidencia de explotación relacionada con ransomware.

Sin embargo, la criticidad de la vulnerabilidad y la facilidad de explotación (acceso de red, baja complejidad, sin privilegios) hacen que sea un objetivo probable para atacantes. Se recomienda aplicar la actualización o mitigación publicada por el fabricante lo antes posible, sin esperar a que se confirme explotación activa.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad. No deben inventarse indicadores ni buscar patrones de red o archivos específicos sin una base documentada.

En ausencia de IOC, se recomienda monitorizar los registros de acceso y las acciones AJAX de checkout en busca de peticiones anómalas que incluyan datos serializados en el parámetro checkout-email, así como revisar la integridad de los archivos del plugin y la presencia de archivos PHP inusuales en el servidor.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress está expuesta a CVE-2026-104736, debes verificar la versión exacta del plugin LearnPress – WordPress LMS Plugin for Create and Sell Online Courses que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 4.4.10 inclusive.

El proceso de comprobación es el siguiente:

1. Accede al panel de administración de WordPress y navega hasta Plugins → Plugins instalados.
2. Localiza LearnPress en la lista y anota el número de versión que aparece en la columna «Versión» o en la ficha del plugin.
3. Compara la versión instalada con el rango afectado: si es igual o inferior a 4.4.10, la instalación es vulnerable.
4. Revisa también si el plugin está en red (WordPress Multisite). En ese caso, verifica la versión en cada sitio o en la configuración de red, ya que la actualización debe aplicarse de forma centralizada.

Nota importante: La vulnerabilidad se explota mediante el parámetro checkout-email durante la acción AJAX de checkout, por lo que cualquier sitio con LearnPress activo y con el flujo de compra habilitado es potencialmente explotable, incluso sin que exista tráfico aparente.

Si no puedes acceder al panel de administración, también puedes comprobar la versión consultando el archivo readme.txt del plugin en el servidor mediante FTP o el administrador de archivos del hosting, aunque esta opción requiere acceso técnico adicional.

Mitigación y actualización

Dado que la vulnerabilidad tiene una puntuación CVSS de 9.8 (CRITICAL) y puede ser explotada por atacantes no autenticados, la prioridad debe ser aplicar la actualización oficial del fabricante en cuanto esté disponible. En el momento de la publicación de este análisis, no se ha publicado una versión corregida en las fuentes consultadas.

Mientras tanto, se recomiendan las siguientes medidas de mitigación temporal:

• Deshabilitar el plugin LearnPress si no es imprescindible para la operación del sitio. Esta es la medida más efectiva para eliminar la superficie de ataque.
• Restringir el acceso a las acciones AJAX de checkout mediante un firewall de aplicación web (WAF) o reglas personalizadas en el servidor, bloqueando peticiones que contengan patrones de serialización PHP en el parámetro checkout-email.
• Monitorizar los registros del servidor en busca de peticiones anómalas al endpoint AJAX de LearnPress, especialmente aquellas que incluyan cadenas tipo O: o a: en el parámetro mencionado.
• Revisar la tabla de sesiones de LearnPress en la base de datos para detectar valores inusuales en el campo correspondiente al email de checkout.

Es fundamental suscribirse a las notificaciones de seguridad del fabricante (ThimPress) y consultar periódicamente el aviso oficial para conocer cuándo se publica la versión corregida. Una vez disponible, la actualización debe aplicarse de inmediato siguiendo el procedimiento estándar de WordPress.

Checklist para administradores

• ☐ He verificado la versión de LearnPress instalada y sé si estoy afectado.
• ☐ He comprobado si el plugin está activo en todos los sitios de la red (Multisite).
• ☐ He revisado los registros del servidor en busca de peticiones sospechosas al endpoint AJAX de checkout.
• ☐ He deshabilitado LearnPress temporalmente si no es imprescindible.
• ☐ He configurado reglas en el WAF para bloquear patrones de serialización en checkout-email.
• ☐ He notificado al equipo de desarrollo o al responsable del sitio sobre la necesidad de actualizar.
• ☐ He establecido una alerta para revisar diariamente el aviso del fabricante hasta que se publique el parche.
• ☐ He realizado una copia de seguridad completa del sitio antes de aplicar cualquier cambio.
• ☐ He documentado el estado de la vulnerabilidad y las acciones tomadas para auditorías internas.

Preguntas frecuentes

¿Qué es la inyección de objetos PHP (PHP Object Injection)?

Es una vulnerabilidad que permite a un atacante inyectar objetos PHP serializados en la aplicación. Si el código deserializa esos datos sin restricciones, el atacante puede provocar la ejecución de código arbitrario, acceso no autorizado o la modificación de datos, dependiendo de las clases disponibles en la aplicación.

¿Cómo se explota esta vulnerabilidad en LearnPress?

El atacante envía una petición AJAX de checkout con el parámetro checkout-email que contiene un objeto PHP serializado. El valor se almacena en la tabla de sesiones de LearnPress y posteriormente se deserializa mediante unserialize() sin restricciones de clases permitidas, lo que permite la inyección del objeto.

¿Necesito estar autenticado para ser atacado?

No. La vulnerabilidad puede ser explotada por atacantes no autenticados, lo que incrementa significativamente el riesgo. Cualquier persona con acceso a Internet puede intentar explotarla si el sitio tiene LearnPress activo.

¿Qué impacto puede tener si mi sitio es comprometido?

Dado que la puntuación CVSS es 9.8 con impacto alto en confidencialidad, integridad y disponibilidad, un atacante podría tomar control total del sitio, acceder a datos sensibles de usuarios y cursos, modificar contenido o utilizar el servidor para otros fines maliciosos.

¿Existe algún parche disponible actualmente?

En el momento de la publicación de este análisis, no se ha publicado una versión corregida en las fuentes consultadas. Se recomienda monitorizar el aviso del fabricante y aplicar la actualización en cuanto esté disponible.

¿Puedo seguir usando LearnPress si aplico las mitigaciones?

Las mitigaciones temporales reducen el riesgo, pero no eliminan la vulnerabilidad por completo. Si el plugin es esencial, asegúrate de aplicar todas las medidas recomendadas y de actualizar inmediatamente cuando se publique el parche.