CVE-2026-12000

WordPress için geliştirilen Page and Post Restriction eklentisi, 1.4.0 ve önceki sürümlerde, WordPress çekirdek REST uç noktaları olan /wp-json/wp/v2/pages, /wp-json/wp/v2/pages/<id>, /wp-json/wp/v2/posts ve /wp-json/wp/v2/posts/<id> üzerinden Hassas Bilgi İfşasına karşı savunmasızdır. Bu durum, eklentinin REST korumalarının — papr_restrict_page_post_rest_api() ve papr_filter_posts() tarafından kaydedilen the_posts filtresi — kısıtlanmış ID listesini yalnızca sayfa başına metabox seçenekleri olan papr_allowed_redirect_for_pages ve papr_allowed_redirect_for_posts değerlerini okuyan papr_get_restricted_posts_id() fonksiyonundan almasından ve eklentinin kendi kullanıcı arayüzünde 'Make all Pages Private' / 'Make all Posts Private' olarak tanımlanan papr_access_for_only_loggedin ve papr_access_for_only_loggedin_posts şeklindeki iki küresel ayarı hiçbir zaman kontrol etmemesinden kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, belirtilen küresel ayarların yapılandırıldığı sitelerde yayınlanan her sayfanın ve yazının tam işlenmiş içeriğini okumasını mümkün kılarak, papr_restrict_logged_in_users() tarafından ön yüzde uygulanan güvenlik sınırının atlatılmasına yol açar.