CVE-2026-16602
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Passster do WordPressa przed wersją 4.3.6 nie sprawdza statusu posta przed zwróceniem treści z nieuwierzytelnionego punktu końcowego REST, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie treści niepublicznych postów (szkiców, prywatnych i oczekujących) na stronach, które mają skonfigurowanego dostawcę captcha.
Ocena ryzyka
Atakujący może uzyskać dostęp do treści nieopublikowanych postów, co może naruszyć poufność danych i ujawnić wrażliwe informacje.
Rekomendacja
Zaktualizuj wtyczkę Passster do wersji 4.3.6 lub nowszej, która zawiera poprawkę.
Inne podatności w Passster
Zobacz wszystkie- CVE-2026-17559Średnie
Wtyczka Passster dla WordPressa przed wersją 4.3.9 nieprawidłowo dopasowuje własne ścieżki publicznych endpointów przy podejmowaniu decyzji, które żądania REST API mogą ominąć globalną ochronę hasłem, porównując je jako niezakotwiczony podciąg URI żądania zamiast z rozwiązaną trasą, co pozwala nieuwierzytelnionemu atakującemu na odczyt treści globalnie chronionych hasłem postów i stron.
- CVE-2025-15674Niskie
Wtyczka Passster dla WordPressa przed wersją 4.3.7 nie ogranicza użytkownikom z niskimi uprawnieniami posiadającym możliwość edit_posts dostępu do globalnie chronionych treści przez WordPress core REST API, gdy włączona jest globalna ochrona. Pozwala to każdemu użytkownikowi z rolą Contributor lub wyższą na odczyt treści chronionych stron i wpisów bez znajomości hasła.
- CVE-2026-16604Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 wyświetla treść bloków chronionych hasłem w publicznej odpowiedzi strony przed weryfikacją hasła, co pozwala nieuwierzytelnionym użytkownikom na odzyskanie chronionej treści bez znajomości hasła.
- CVE-2026-16603Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 nie egzekwuje ochrony treści opartej na kategoriach w interfejsie REST API WordPressa, co pozwala nieuwierzytelnionym użytkownikom na odczyt pełnej treści, tytułu i fragmentu postów zablokowanych kategoriami przez podstawowe REST API.
Oryginalny opis (angielski, źródło NVD)
The Passster WordPress plugin before 4.3.6 does not perform a post-status check before returning post content from an unauthenticated REST endpoint, allowing unauthenticated users to disclose the content of non-public (draft, private, and pending) posts on sites that have a captcha provider configured.