CVE-2026-118194

اسم البرنامج المصاب والإصدارات المتأثرة Page and Post Restriction الإصدارات السابقة لـ 1.6.2

الوصف يوجد تجاوز للمصادقة بسبب الدالة papr restrict page post rest api() المرتبطة بـ rest pre dispatch. تقوم الدالة بإعادة مصادقة المستخدمين من ملف تعريف الارتباط wordpress logged in عبر wp set current user() لطلبات REST من نوع GET أو HEAD عندما يكون المستخدم الحالي 0، دون التحقق من nonce الخاص بـ REST. هذا الإجراء يلغي فحص الأمان الذي تقوم به دالة rest cookie check errors() في نواة WordPress، والتي تقوم عادةً بتصفير الـ nonce للطلبات المصادق عليها عبر ملفات تعريف الارتباط التي تفتقر إلى رأس X-WP-Nonce أو معلمة wpnonce. وبالاقتران مع سلوك مشاركة الموارد عبر الأصول (CORS) المتساهل، يمكن لمهاجم غير مصادق عليه استدراج مستخدم مسجل الدخول إلى صفحة خبيثة لتنفيذ طلبات fetch عبر الأصول باستخدام الاعتمادات. يتيح ذلك للمهاجم قراءة استجابات GET الخاصة بـ REST API بصفتهم الضحية، مما يكشف عن محتوى المنشورات/الصفحات الخاصة، والتعليقات، وبيانات ملف تعريف المستخدم عبر نقطة النهاية /wp-json/wp/v2/users/me.

التوصيات تحديث المكون الإضافي إلى إصدار أحدث من 1.6.1. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالة papr restrict page post rest api().