CVE-2026-12000

WordPress üçün olan Page and Post Restriction plagini 1.4.0 daxil olmaqla daha aşağı versiyalarda WordPress core REST son nöqtələri /wp-json/wp/v2/pages, /wp-json/wp/v2/pages/<id>, /wp-json/wp/v2/posts və /wp-json/wp/v2/posts/<id> vasitəsilə Həssas Məlumatların Açılmasına (Sensitive Information Exposure) qarşı həssasdır. Bu, plaginon REST mühafizəçilərinin — papr_restrict_page_post_rest_api() və papr_filter_posts() tərəfindən qeydiyyata alınmış the_posts filtrinin — məhdudlaşdırılmış ID siyahısını eksklüziv olaraq yalnız səhifə üzrə metabox seçimləri olan papr_allowed_redirect_for_pages və papr_allowed_redirect_for_posts parametrlərini oxuyan papr_get_restricted_posts_id() funksiyasından almasından qaynaqlanır və plaginon öz istifadəçi interfeysində 'Make all Pages Private' / 'Make all Posts Private' kimi təsvir edilən iki qlobal papr_access_for_only_loggedin və papr_access_for_only_loggedin_posts keçidlərinə heç vaxt müraciət etmir. Bu, autentifikasiya olunmamış hücumçulara sənədləşdirilmiş qlobal keçidlər ilə konfiqurasiya edilmiş saytlarda dərc edilmiş hər bir səhifənin və postun tam render edilmiş məzmununu oxumağa imkan verir və beləliklə, papr_restrict_logged_in_users() tərəfindən front-end hissəsində tətbiq edilən təhlükəsizlik sərhədindən yan keçməyə şərait yaradır.