Плагин Rank Math SEO WordPress до версии 1.0.277 не проверяет, разрешено ли запрашивающему пользователю читать конкретное сообщение, указанное в запросе, прежде чем возвращать его содержимое и метаданные SEO, что позволяет пользователям с ролью автора и выше читать заголовок, тело и метаданные частных сообщений других пользователей.
Показать оригинальное описание (EN)
The Rank Math SEO WordPress plugin before 1.0.277 does not verify that the requesting user is permitted to read the specific post referenced in a request before returning its content and SEO metadata, allowing users with the Author role and above to read the title, body and metadata of other users' non-public posts.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1