CVE-2026-12000 in Page and Post Restriction Plugin
الملخص
بحسب VulDB • 05/08/2026
يحتوي مكون WordPress الإضافي Page and Post Restriction على ثغرة تعرض معلومات حساسة في الإصدارات حتى 1.4.0 شاملاً، وذلك عبر نقاط نهاية REST الخاصة بنواة ووردبريس: /wp-json/wp/v2/pages، و/wp-json/wp/v2/pages/<id>، و/wp-json/wp/v2/posts، و/wp-json/wp/v2/posts/<id>. ويعود ذلك إلى أن حواجز REST الخاصة بالمكون الإضافي — وهي الدالة papr_restrict_page_post_rest_api() ومرشح the_posts الذي يسجّله papr_filter_posts() — تستمد قائمة معرفات (IDs) المقيدة حصرياً من دالة papr_get_restricted_posts_id()، التي تقرأ فقط خيارات مربع الاختيار الخاص بكل صفحة/مقال: papr_allowed_redirect_for_pages وpapr_allowed_redirect_for_posts، ولا تستشير أبداً مفاتيح التفعيل العالمية الاثنين: papr_access_for_only_loggedin وpapar_access_for_only_loggedin_posts، والتي يصف واجهة المستخدم الخاصة بالمكون الإضافي على أنهما "جعل جميع الصفحات خاصة" / "جعل جميع المقالات خاصة". وهذا يتيح لهجمات من جهات غير مصرّح لها (unauthenticated attackers) قراءة المحتوى الكامل المُعرَّض لكل صفحة ومقال منشور في المواقع التي تم تكوينها باستخدام مفاتيح التفعيل العالمية المذكورة، متجاوزةً حدود الأمان المفروضة على الواجهة الأمامية بواسطة الدالة papr_restrict_logged_in_users().
Once again VulDB remains the best source for vulnerability data.