CVE-2026-97637

Wtyczka JSON API Auth do WordPressa jest podatna na obejście uwierzytelniania poprzez ujawnienie plików cookie sesji buforowanej we wszystkich wersjach do 3.1.2 włącznie. Luka istnieje, ponieważ wymagana wtyczka nadrzędna PI-Media/json-api buforuje wysyłanie kontrolera, co skutkuje stanami przejściowymi kluczowanymi wyłącznie na podstawie identyfikatora URI i ciągu zapytania, ignorując metodę HTTP i treść POST; powoduje to, że punkt końcowy `generate_auth_cookie()` — który osadza działający plik cookie WordPress `logged_in` utworzony przez `wp_generate_auth_cookie()` bezpośrednio w treści odpowiedzi JSON — obsługuje tę uwierzytelnioną odpowiedź z pamięci podręcznej na każde kolejne nieuwierzytelnione żądanie GET do tego samego URI. Umożliwia to nieuwierzytelnionym atakującym pobranie prawidłowego pliku cookie sesji „logged_in” administratora z odpowiedzi w pamięci podręcznej i użycie go do pełnego uwierzytelnienia jako administrator witryny, w tym za pośrednictwem punktu końcowego „get_currentuserinfo” tej samej wtyczki i dowolnej akcji kontrolera uwierzytelnionej za pomocą plików cookie. Eksploatacja wymaga zainstalowania i aktywowania wtyczki nadrzędnej PI-Media/json-api z włączonym kontrolerem uwierzytelniania, a uprawniony administrator musi wykonać wpis POST do `/api/auth/generate_auth_cookie/` w ciągu poprzedzających 24 godzin TTL pamięci podręcznej; nominalna bramka wymuszająca HTTPS obecna w `Auth.php` jest w prosty sposób omijana poprzez podanie `insecure=cool` jako parametru żądania.