ac8999/cve-2026-27344غياب التفويض في inseriswiss inseri core inseri-core يسمح باستغلال مستويات أمان التحكم في الوصول المكوّنة بشكل غير صحيح. تؤثر هذه المشكلة على inseri core: من n/a حتى <= 1.0.5.
الإضافة: Inseri Core
المكوّن المتأثر: /includes/rest_api.php
نوع الثغرة: التحكم في الوصول المعطوب (نقص التفويض)
الحالة: تم الإبلاغ عنها في أغسطس 2026– أُغلقت باعتبارها مكررة.
أثناء الاختبار في هذا الصيف، عثرت على ثغرة من نوع التحكم في الوصول المعطوب تم تحديدها في إضافة Inseri Core لووردبريس.
تعرض الإضافة نقطة نهاية REST API تُستخدم بواسطة زر «تصدير» وتتيح تنزيل أرشيف لمقال/صفحة. لا تتحقق نقطة النهاية هذه بشكل صحيح من صلاحيات المستخدم الحالي أو حالة نشر المحتوى.
ونتيجةً لذلك، يمكن لمستخدم غير مُصادَق (أو منخفض الصلاحيات) تنزيل أرشيف مقال حتى عندما يكون المقال قد تم تعيينه إلى مسودة أو محذوف.
curl أو المتصفح)؛ سيظل الأرشيف متاحًا للتنزيل.النتيجة: لا يزال الأرشيف يُعاد بنجاح.---