CVE-2026-118194

Nome do Software Vulnerável e Versões Afetadas Page and Post Restriction versões anteriores a 1.6.2

Descrição Existe uma falha de bypass de autenticação devido à função papr restrict page post rest api(), vinculada ao rest pre dispatch. A função reautentica usuários a partir do cookie wordpress logged in usando wp set current user() para requisições REST GET ou HEAD quando o usuário atual é 0, sem verificar um nonce de REST. Esta ação anula a verificação de segurança realizada pela função rest cookie check errors() do núcleo do WordPress, que normalmente zera o nonce para requisições autenticadas por cookie que não possuem o cabeçalho X-WP-Nonce ou o parâmetro wpnonce. Combinado com o comportamento permissivo de Cross-Origin Resource Sharing (CORS), um invasor não autenticado pode atrair um usuário logado para uma página maliciosa para executar requisições fetch cross-origin com credenciais. Isso permite que o invasor leia respostas GET da API REST como se fosse a vítima, expondo conteúdo privado de posts/páginas, comentários e dados de perfil do usuário através do endpoint /wp-json/wp/v2/users/me.

Recomendações Atualize o plugin para uma versão posterior à 1.6.1. Como mitigação temporária, restrinja o acesso à função papr restrict page post rest api().