CVE-2026-16603
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Passster do WordPressa przed wersją 4.3.6 nie egzekwuje ochrony treści opartej na kategoriach w interfejsie REST API WordPressa, co pozwala nieuwierzytelnionym użytkownikom na odczyt pełnej treści, tytułu i fragmentu postów zablokowanych kategoriami przez podstawowe REST API.
Ocena ryzyka
Atakujący może uzyskać dostęp do treści postów, które powinny być chronione, co może naruszyć poufność i integralność treści.
Rekomendacja
Zaktualizuj wtyczkę Passster do wersji 4.3.6 lub nowszej, która zawiera poprawkę.
Inne podatności w Passster
Zobacz wszystkie- CVE-2026-17559Średnie
Wtyczka Passster dla WordPressa przed wersją 4.3.9 nieprawidłowo dopasowuje własne ścieżki publicznych endpointów przy podejmowaniu decyzji, które żądania REST API mogą ominąć globalną ochronę hasłem, porównując je jako niezakotwiczony podciąg URI żądania zamiast z rozwiązaną trasą, co pozwala nieuwierzytelnionemu atakującemu na odczyt treści globalnie chronionych hasłem postów i stron.
- CVE-2025-15674Niskie
Wtyczka Passster dla WordPressa przed wersją 4.3.7 nie ogranicza użytkownikom z niskimi uprawnieniami posiadającym możliwość edit_posts dostępu do globalnie chronionych treści przez WordPress core REST API, gdy włączona jest globalna ochrona. Pozwala to każdemu użytkownikowi z rolą Contributor lub wyższą na odczyt treści chronionych stron i wpisów bez znajomości hasła.
- CVE-2026-16604Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 wyświetla treść bloków chronionych hasłem w publicznej odpowiedzi strony przed weryfikacją hasła, co pozwala nieuwierzytelnionym użytkownikom na odzyskanie chronionej treści bez znajomości hasła.
- CVE-2026-16602Wysokie
Wtyczka Passster do WordPressa przed wersją 4.3.6 nie sprawdza statusu posta przed zwróceniem treści z nieuwierzytelnionego punktu końcowego REST, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie treści niepublicznych postów (szkiców, prywatnych i oczekujących) na stronach, które mają skonfigurowanego dostawcę captcha.
Oryginalny opis (angielski, źródło NVD)
The Passster WordPress plugin before 4.3.6 does not enforce its category-based content protection on the WordPress REST API, allowing unauthenticated users to read the full content, title, and excerpt of category-locked posts through the core REST API.