CVE-2025-15674
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Passster dla WordPressa przed wersją 4.3.7 nie ogranicza użytkownikom z niskimi uprawnieniami posiadającym możliwość edit_posts dostępu do globalnie chronionych treści przez WordPress core REST API, gdy włączona jest globalna ochrona. Pozwala to każdemu użytkownikowi z rolą Contributor lub wyższą na odczyt treści chronionych stron i wpisów bez znajomości hasła.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do chronionych treści, co może naruszyć poufność danych i integralność zabezpieczeń wtyczki.
Rekomendacja
Zaleca się aktualizację wtyczki Passster do wersji 4.3.7 lub nowszej oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do chronionych treści.
Inne podatności w Passster
Zobacz wszystkie- CVE-2026-62114Średnie
Wtyczka Passster w wersjach do 4.3.13 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.
- CVE-2025-15490Średnie
Wtyczka Passster dla WordPressa przed wersją 4.2.26 ma wadę w globalnych mechanizmach ochrony, co pozwala nieuwierzytelnionym użytkownikom ominąć ochronę za pomocą spreparowanych adresów URL.
- CVE-2025-15489Średnie
Wtyczka Passster dla WordPressa przed wersją 4.2.24 nieprawidłowo przetwarza dane wejściowe w akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na odzyskanie wartości treści chronionej hasłem.
- CVE-2026-17559Średnie
Wtyczka Passster dla WordPressa przed wersją 4.3.9 nieprawidłowo dopasowuje własne ścieżki publicznych endpointów przy podejmowaniu decyzji, które żądania REST API mogą ominąć globalną ochronę hasłem, porównując je jako niezakotwiczony podciąg URI żądania zamiast z rozwiązaną trasą, co pozwala nieuwierzytelnionemu atakującemu na odczyt treści globalnie chronionych hasłem postów i stron.
- CVE-2026-16604Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 wyświetla treść bloków chronionych hasłem w publicznej odpowiedzi strony przed weryfikacją hasła, co pozwala nieuwierzytelnionym użytkownikom na odzyskanie chronionej treści bez znajomości hasła.
- CVE-2026-16603Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 nie egzekwuje ochrony treści opartej na kategoriach w interfejsie REST API WordPressa, co pozwala nieuwierzytelnionym użytkownikom na odczyt pełnej treści, tytułu i fragmentu postów zablokowanych kategoriami przez podstawowe REST API.
- CVE-2026-16602Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 nie sprawdza statusu posta przed zwróceniem treści z nieuwierzytelnionego punktu końcowego REST, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie treści niepublicznych postów (szkiców, prywatnych i oczekujących) na stronach, które mają skonfigurowanego dostawcę captcha.
Oryginalny opis (angielski, źródło NVD)
The Passster WordPress plugin before 4.3.7 does not restrict low-privilege users holding the edit_posts capability from reading globally password-protected content through the WordPress core REST API when global protection is enabled, allowing any Contributor or higher to read the content of protected pages and posts without knowing the password.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS