CVE-2026-118194

Wtyczka Ograniczanie stron i postów dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach aż do 1.6.1 włącznie. Jest to spowodowane funkcją `papr_restrict_page_post_rest_api()`, podłączoną do `rest_pre_dispatch`, ponownie uwierzytelniającą bieżącego użytkownika z pliku cookie `wordpress_logged_in` za pomocą `wp_set_current_user()` dla dowolnego GET lub HEAD Żądanie REST, w którym bieżący użytkownik ma wartość 0, bez sprawdzania wartości jednorazowej REST — po cichu cofa zerowanie wartości jednorazowej, które funkcja „rest_cookie_check_errors()” rdzenia WordPress wykonuje w przypadku żądań uwierzytelnionych plikami cookie, które nie mają nagłówka „X-WP-Nonce” ani parametru „_wpnonce”. W połączeniu z permisywnym zachowaniem REST CORS WordPressa — które powtarza żądanie „Origin” i ustawia „Access-Control-Allow-Credentials: true” — umożliwia to nieuwierzytelnionemu atakującemu odczytanie odpowiedzi GET API REST jako zalogowanej ofiary, ujawniając ograniczoną do ról i prywatną treść postów/stron, dane profilu użytkownika ofiary poprzez `/wp-json/wp/v2/users/me` oraz komentarze, do których wglądu ofiara ma prawo. Wymaga to od atakującego zwabienia zalogowanego użytkownika do odwiedzenia kontrolowanej przez niego strony, która wysyła uwierzytelnione żądania „pobrania” z różnych źródeł do interfejsu API REST witryny docelowej; nie jest wymagana żadna jednorazowa interwencja ani dalsza interakcja ofiary poza wizytą na stronie.