Плагин User Access Manager WordPress до версии 2.3.15 не применяет ограничения доступа к запросам REST API, позволяя неаутентифицированным злоумышленникам читать содержимое сообщений, страниц и пользовательских типов сообщений, которые были доступны только определенным группам пользователей.
Показать оригинальное описание (EN)
The User Access Manager WordPress plugin before 2.3.15 does not apply its access restrictions to REST API requests, allowing unauthenticated attackers to read the content of posts, pages and custom post types that have been restricted to specific user groups.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1