CVE-2026-15939
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Simple Restrict do WordPressa przed wersją 1.2.9 nie egzekwuje swojej kontroli uprawnień do ograniczania treści w REST API w taki sam sposób jak na froncie. Zamiast własnego systemu uprawnień, polega na ogólnej kontroli uprawnień, co pozwala użytkownikom z dostępem na poziomie współautora lub wyższym na czytanie treści ograniczonych postów i stron, do których nigdy nie otrzymali dostępu.
Ocena ryzyka
Organizacja może ujawnić poufne treści użytkownikom, którzy nie powinni mieć do nich dostępu, co narusza kontrolę dostępu.
Rekomendacja
Należy zaktualizować wtyczkę Simple Restrict do wersji 1.2.9 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Simple Restrict WordPress plugin before 1.2.9 does not enforce its content-restriction permission check on the REST API the way it does on the front end, relying there on a generic capability check instead of the Simple Restrict WordPress plugin before 1.2.9's own permission system, allowing users with contributor-level access or above to read the content of restricted posts and pages they were never granted access to.