Плагин Duplication Post WordPress до версии 1.5.6 не проверяет возможности пользователя перед возвратом данных о публикации, позволяя пользователям с делегированной ролью читать контент, метаданные и пароли сообщений, к которым им не разрешен доступ, включая личный и черновой контент других пользователей.
Показать оригинальное описание (EN)
The Duplicate Post WordPress plugin before 1.5.6 does not check the user's capabilities before returning post data, allowing users with a delegated role to read the content, metadata and passwords of posts they are not allowed to access, including other users' private and draft content.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1