یک آسیب‌پذیری امنیتی با شناسه CVE-2026-90952 در افزونه WP Edit Password Protected برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی از نوع Information Disclosure است و به مهاجمان اجازه می‌دهد تا محدودیت‌های دسترسی تعریف شده در این افزونه را دور بزنند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 2.0.7، این افزونه در اعمال محدودیت‌های دسترسی سراسری (Site-wide access restriction) بر روی WordPress REST API شکست می‌خورد. این موضوع باعث می‌شود کاربران احرازنشده (Unauthenticated) بتوانند محتوای پست‌ها و صفحاتی را که قرار بود توسط حالت دسترسی افزونه پنهان بمانند، مشاهده کنند.
تحلیل اثرات و ریسک
- بردار حمله: حمله از راه دور (Remote) و بدون نیاز به تعامل کاربر (No Interaction).
- تاثیر: کاهش سطح محرمانگی (Confidentiality loss) برای محتواهای پنهان شده.
- یکپارچگی و در دسترس بودن: این آسیب‌پذیری تاثیری بر Integrity یا Availability سیستم ندارد.
- نوع ضعف: این نقص تحت دسته‌بندی CWE-862 (عدم بررسی مجوز دسترسی یا Missing Authorization) قرار می‌گیرد.
با توجه به اینکه کدهای اکسپلویت (Exploit code) برای این آسیب‌پذیری به صورت عمومی منتشر شده است، مدیران سایت‌های وردپرسی که از این افزونه برای محدود کردن دسترسی به محتوا استفاده می‌کنند، باید سریعاً اقدام به به‌روزرسانی نمایند.
