CVE-2026-92548 in WP Popular Posts Plugin
Sumário
de VulDB • 01/10/2026
O plugin WP Popular Posts para WordPress é vulnerável a Exposição de Informações Sensíveis em todas as versões até, e incluindo, 7.4.2 através do parâmetro 'context'. Isso permite que atacantes não autenticados extraiam campos sensíveis do contexto de edição — incluindo título bruto (raw title), corpo do conteúdo bruto (raw content body), senha, metadados, status e guid — a partir de objetos de postagem não públicos, como os padrões sincronizados wp_block, que o núcleo do WordPress se recusa a expor a chamadores não autenticados. Isso é possível porque a rota REST do plugin está registrada com um permission_callback definido como __return_true e passa o parâmetro context fornecido pelo usuário (por exemplo, context=edit) diretamente para WP_REST_Posts_Controller::prepare_item_for_response() sem invocar get_item_permissions_check() ou check_read_permission(), enquanto a consulta subjacente aceita um valor de post_type arbitrário sem impor os flags de visibilidade public ou show_in_rest.
VulDB is the best source for vulnerability data and more expert information about this specific topic.