CVE-2026-118194 in Page and Post Restriction Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das WordPress-Plugin „Page and Post Restriction“ ist in allen Versionen bis einschließlich 1.6.1 anfällig für eine Authentifizierungsumgehung (Authentication Bypass). Dies liegt an der Funktion `papr_restrict_page_post_rest_api()`, die an `rest_pre_dispatch` gehookt ist und den aktuellen Benutzer über das Cookie `wordpress_logged_in` mittels `wp_set_current_user()` neu authentifiziert, wenn es sich um eine GET- oder HEAD-REST-Anfrage handelt und der aktuelle Benutzer 0 (nicht angemeldet) ist. Dabei wird kein REST-Nonce überprüft, wodurch die durch WordPress Core’s Funktion `rest_cookie_check_errors()` bei Cookie-authentifizierten Anfragen ohne `X-WP-Nonce`-Header oder `_wpnonce`-Parameter vorgenommene Nonce-Aufhebung auf Null stillschweigend rückgängig gemacht wird. In Kombination mit dem permissiven REST-CORS-Verhalten von WordPress, das den Anfrage-Origin zurückgibt und `Access-Control-Allow-Credentials: true` festlegt, ermöglicht dies einem nicht authentifizierten Angreifer, GET-Antworten der REST-API als angemeldetes Opfer zu lesen. Dadurch werden rollenbeschränkter sowie privater Post-/Seiteninhalt, Daten zum Benutzerprofil des Opfers über `/wp-json/wp/v2/users/me` und Kommentare, die das Opfer sehen darf, offengelegt. Der Angreifer muss dazu ein angemeldetes Benutzer darauf locken, eine vom Angreifer kontrollierte Seite zu besuchen, die berechtigte cross-origin `fetch`-Anfragen gegen die REST-API der Zielwebsite sendet; es werden kein Nonce und keine weitere Interaktion des Opfers über den Seitenbesuch hinaus benötigt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.