Если на сайте курсы и LearnPress по 4.4.10 включительно, гость без логина может записать PHP-объект в сессию оформления заказа. Патч 4.4.11 уже в каталоге, оценка Wordfence 9.8.
LearnPress 4.4.11 и LatePoint 5.7.5 в каталоге с 16 октября, Sunshine Photo Cart 3.7.5 с 13 октября. Запись на услуги смотрите в LatePoint, клиентскую галерею в Sunshine Photo Cart.
- LearnPress, slug
learnpress, CVE-2026-104736. По 4.4.10, без логина, PHP-объект в сессии оформления. Патч 4.4.11. В каталоге около 70 тысяч активных установок. - LatePoint, slug
latepoint, CVE-2026-110653. По 5.7.4 счётчик попыток одноразового кода перезаписывается старым значением, потолок в 10 не держится. Кто знает почту или телефон клиента, входит в его кабинет: записи и личные данные. Патч 5.7.5. Около 100 тысяч установок. - Sunshine Photo Cart, slug
sunshine-photo-cart, CVE-2026-104730. По 3.7.4, без логина, объект с публичного избранного. Как пишет Wordfence, своей цепочки в плагине нет. Если она есть в другом плагине или теме, объект может удалить файл, забрать данные или выполнить код. Патч 3.7.5. Около тысячи установок.
LearnPress берёт email с оформления заказа, кладёт его в свою таблицу сессий и на следующем заходе поднимает через unserialize. Ограничения на классы нет. Плагин прогоняет значение как обычный текст, но синтаксис сериализованного объекта от этого не пропадает. Отдельный логин для оформления не нужен.
В каталоге сейчас 4.4.11, сборка от 16 октября, в changelog помечено security. Версию ниже обновляйте сегодня, не в понедельник: оформление заказа на курсах открыто всем.
Перед обновлением на проде снимите копию файлов и базы. Все три slug из каталога, их можно обновить вместе.
wp plugin list --fields=name,status,version | grep -Ei 'learnpress|latepoint|sunshine-photo-cart' wp plugin get learnpress --field=version wp plugin update learnpress latepoint sunshine-photo-cart
Если ни learnpress, ни latepoint, ни sunshine-photo-cart в списке нет, эти дыры сайта не касаются.
