Плагин Passster WordPress до версии 4.3.7 не ограничивает пользователей с низким уровнем привилегий, обладающих возможностью edit_posts, читать глобально защищенный паролем контент через основной REST API WordPress, когда глобальная защита включена, что позволяет любому Участнику или выше читать содержимое защищенных страниц и сообщений, не зная пароля.
Показать оригинальное описание (EN)
The Passster WordPress plugin before 4.3.7 does not restrict low-privilege users holding the edit_posts capability from reading globally password-protected content through the WordPress core REST API when global protection is enabled, allowing any Contributor or higher to read the content of protected pages and posts without knowing the password.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1