Fehlerhafte Zugriffskontrolle im Inseri Core (WordPress-Plugin)

Plugin: Inseri Core
Betroffene Komponente: /includes/rest_api.php
Schwachstellentyp: Fehlerhafte Zugriffskontrolle (Fehlende Autorisierung)
Status: Gemeldet im August 2026 – als Duplikat geschlossen.

---

Zusammenfassung

Während ich diesen Sommer testete, stieß ich auf eine Schwachstelle durch fehlerhafte Zugriffskontrolle (Broken Access Control) im Inseri-Core-WordPress-Plugin.

Das Plugin stellt einen REST-API-Endpunkt bereit, der vom „Export“-Button verwendet wird und das Herunterladen eines Archivs eines Beitrags/einer Seite ermöglicht. Dieser Endpunkt überprüft nicht ordnungsgemäß die Berechtigungen des aktuellen Benutzers oder den Veröffentlichungsstatus des Inhalts.

Infolgedessen kann ein nicht authentifizierter (oder nur gering privilegierter) Benutzer das Archiv eines Beitrags herunterladen, selbst wenn der Beitrag als Entwurf gespeichert oder gelöscht wurde.

---

Schritte zur Reproduktion

1. Installieren und aktivieren Sie das Inseri-Core-Plugin.
2. Erstellen Sie eine Seite/einen Beitrag, während Sie als Benutzer angemeldet sind, der Zugriff auf die Inseri-Oberfläche hat.
3. Fügen Sie den Inseri-Button Export in Ihre Seite ein.
4. Zeigen Sie eine Vorschau der Seite an und klicken Sie auf Abfangen (intercept), sobald Sie die Download-/Exportanfrage auslösen (siehe Methode unten).
5. Notieren Sie den aufgerufenen REST-Endpunkt (in meinem Fall war es: http://localhost:8080/index.php?rest_route=/inseri-core/v1/archive/2)
6. Ändern Sie den Beitragsstatus der Seite in WordPress auf Entwurf oder löschen Sie den Beitrag permanent.
7. Fragen Sie denselben Endpunkt erneut ab (z. B. mit curl oder einem Browser); das Archiv bleibt weiterhin zum Download verfügbar.

Ergebnis: Das Archiv wird weiterhin erfolgreich zurückgegeben.