Page and Post Restriction : contournement d’authentification sur l’API REST

Veille sécuritéCMS & e-commerce

P4Moyenne

Page and Post Restriction est vulnérable à un contournement d’authentification dans toutes les versions jusqu’à 1.6.1 incluse. Une requête REST GET ou HEAD inter-origines peut, sous certaines conditions, permettre à un attaquant de lire des contenus et données accessibles à un utilisateur connecté qu’il a attiré sur une page contrôlée par l’attaquant.

IdentifiantCVE-2026-118194

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118194

Analyse technique

La fonction papr_restrict_page_post_rest_api() réauthentifie l’utilisateur depuis le cookie WordPress sans vérifier de nonce REST, neutralisant une protection appliquée par WordPress aux requêtes concernées.

Impact, versions et correctif

Événement datéPublication NVD indiquée le 2026-10-30, dans la période demandée; retenue comme nouvelle vulnérabilité.

ImpactLecture inter-origines de contenus privés ou restreints, de données de profil et de commentaires autorisés pour la victime.

Versions affectéesPage and Post Restriction jusqu’à et y compris 1.6.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,34% · percentile 27,9%

Publication2026-10-30T06:16:47.230Z

Mise à jour2026-10-30T19:18:17.777Z

Action recommandée

Aucune version corrigée n’est précisée dans les informations fournies; vérifier la disponibilité d’un correctif et limiter l’exposition des données REST sensibles.

Sources

NVD — CVE-2026-118194

Priorisation DFS : P4 · 1 source(s).