LearnPress mit über 70.000 Installationen: kritische Lücke im Bezahlvorgang

Michael Dobler

Autor Dr. Web

19. Okt. 2026

3 Min. Lesezeit

Über das E-Mail-Feld im Bezahlvorgang konnten Fremde bis Version 4.4.10 präparierte PHP-Objekte in WordPress-Websites mit LearnPress einschleusen, ohne sich anzumelden. Wordfence bewertet die Lücke mit 9,8 von 10 Punkten und damit als kritisch. Version 4.4.11 vom 16. Oktober behebt den Fehler und eine zweite Lücke im Bestellformular.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Seit dem 3. September hat Wordfence 18 Lücken im Kurs-Plugin des Herstellers ThimPress veröffentlicht, zehn davon lassen sich ohne Anmeldung ausnutzen. Keine der übrigen 17 erreichte mehr als 7,5 Punkte.^[2] Die neue Lücke, CVE-2026-104736, fand Wordfence PRISM, laut Wordfence ein KI-Agent für die Schwachstellensuche.^[3]

Das Wichtigste in Kürze

LearnPress bis 4.4.10 ließ ohne Anmeldung das Einschleusen von PHP-Objekten zu (CVSS 3.1: 9,8, vergeben von Wordfence).
Version 4.4.11 schließt außerdem eine Cross-Site-Scripting-Lücke (XSS) im Bestellformular (CVSS 3.1: 7,2).
Am 19. Oktober liefen laut wordpress.org knapp 45 Prozent der Installationen auf Versionszweigen vor 4.4.
Angriffe sind bis zum 19. Oktober nicht bekannt.

Wie gelangt ein fremdes Objekt über das E-Mail-Feld in die Website?

Weißer E-Mail-Briefkasten mit orangem Würfel im Einwurfschlitz vor weißem Hintergrund — LearnPress speicherte E-Mail-Adressen aus Bezahlvorgängen unsicher in der Session-Tabelle, was bis Version 4.4.10 zu Sicherheitslücken führte

Mit LearnPress verkaufen Betreiber Online-Kurse über ihre WordPress-Website, auf Wunsch auch an Gäste ohne Konto. Die E-Mail-Adresse aus dem Bezahlvorgang speicherte das Plugin bis Version 4.4.10 in seiner Session-Tabelle. Laut Wordfence prüfte LearnPress den Wert nur mit einer WordPress-Funktion, die Text bereinigt, die Schreibweise serialisierter PHP-Objekte aber stehen lässt. Bei späteren Seitenaufrufen wandelte das Plugin den gespeicherten Text zurück in Objekte, ohne die zulässigen Klassen einzuschränken.^[1]

Schaden richtet ein eingeschleustes Objekt erst über eine sogenannte POP-Kette an: Programmcode eines Plugins oder Themes, den PHP beim Erzeugen oder Löschen des Objekts automatisch ausführt. Je nach Kette kann ein Angreifer Dateien löschen oder eigenen Code auf dem Server ausführen. Ob LearnPress selbst eine solche Kette enthält, gibt Wordfence nicht an.

Laut Quellcode-Vergleich der Redaktion steckte die Korrektur der Objekt-Lücke schon in Version 4.4.10 vom 9. Oktober. Seither lässt LearnPress beim Zurückwandeln keine Objekte mehr zu und prüft das Feld als E-Mail-Adresse. Die nötige Option bietet PHP seit Version 7.0, das PHP-Handbuch rät zudem, Eingaben von Nutzern gar nicht erst zurückzuwandeln.^[4] Die XSS-Lücke schließt erst 4.4.11, die von Wordfence genannte gepatchte Version.^[5]

Wie viele LearnPress-Websites sind betroffen?

Laut der Versionsstatistik von wordpress.org liefen am 19. Oktober 44,9 Prozent der Installationen auf den Zweigen 4.3, 4.2 und 3.2, also auf Versionen, die Wordfence als anfällig führt. Bei 70.000 Installationen entspricht der Anteil rechnerisch rund 31.400 Websites. Wie viele der 48,9 Prozent auf dem Zweig 4.4 schon 4.4.11 nutzen, weist die Statistik nicht aus.^[5]

Dieselbe Art von Lücke traf im September Ninja Forms und das Suchwerkzeug String Locator, bei Kirki steckte der Fehler zuletzt im Vorlagen-Import. Bei LearnPress kommt das Tempo hinzu: Von sieben Versionen seit dem 2. September enthielten sechs laut Änderungsprotokoll Sicherheitskorrekturen.^[5]

LearnPress-Lücke im Steckbrief

Reichweite, Schweregrad und Update-Tempo, Stand 19. Oktober 2026

70.000+

aktive Installationen von LearnPress laut wordpress.org

9,8

Punkte nach CVSS 3.1 vergibt Wordfence, Angriff ohne Anmeldung

Lücken in LearnPress veröffentlichte Wordfence seit dem 3. September

44,9 %

der Installationen liefen am 19. Oktober auf Versionen vor 4.4

Vom ersten Sicherheitsupdate bis zur Offenlegung

2. September

Version 4.4.6

Erste von sechs Versionen mit Sicherheitskorrekturen bis Mitte Oktober

9. Oktober

Version 4.4.10

Laut Quellcode lässt LearnPress beim Zurückwandeln keine Objekte mehr zu

16. Oktober

Version 4.4.11

Wordfence veröffentlicht drei neue Lücken, das Update schließt alle drei

17. Oktober

NVD

Die US-Schwachstellendatenbank übernimmt die drei CVE-Einträge

19. Oktober

Status

Patch verfügbar, keine Angriffe bekannt, kein Eintrag im CISA-Katalog

Sechs Sicherheitsupdates seit Anfang September verlangen von jedem Kursanbieter eingeschaltete automatische Updates.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie LearnPress auf 4.4.11 oder neuer und prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind. Eine Sicherung vorab, etwa mit einem der verglichenen Backup-Plugins, erleichtert das Zurücksetzen.
Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, deaktivieren Sie das Plugin.
Gastbestellung prüfen: Die XSS-Lücke im Bestellformular nutzen Fremde ohne Konto nur bei eingeschalteter Gastbestellung aus, sonst genügt ein Abonnentenkonto.^[6]
Spuren suchen: Prüfen Sie die Liste der Administratoren auf unbekannte Konten und die Plugin-Ordner auf fremde Dateien.
Melden: Sind Daten von Kursteilnehmern an Fremde gelangt, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[7]

Agenturen mit vielen Kunden-Websites ziehen Kursplattformen mit Versionen vor 4.4 zuerst nach. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: LearnPress mit über 70.000 Installationen: kritische Lücke im Bezahlvorgang

Was ist LearnPress?

LearnPress ist ein WordPress-Plugin des Herstellers ThimPress für Online-Kurse. Betreiber legen damit Lektionen und Tests an und verkaufen Kurse direkt über die Website. Laut wordpress.org läuft das Plugin auf mehr als 70.000 Websites.

Welche Version von LearnPress ist sicher?

Sicher ist Version 4.4.11 vom 16. Oktober 2026 oder neuer. Alle Versionen bis einschließlich 4.4.10 enthalten laut Wordfence die Lücken CVE-2026-104736, CVE-2026-109208 und CVE-2026-107744. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.

Was ist eine PHP-Objekt-Injektion?

Bei einer PHP-Objekt-Injektion verwandelt eine Anwendung eingeschleusten Text ungeprüft in PHP-Objekte zurück. Schaden entsteht, sobald auf dem Server Code liegt, der solche Objekte automatisch verarbeitet, etwa aus einem anderen Plugin. Die Folgen reichen von gelöschten Dateien bis zu fremdem Code auf dem Server.

Wird die LearnPress-Lücke schon ausgenutzt?

Bis zum 19. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Ein Patch liegt seit dem 16. Oktober vor.