ac8999/cve-2026-27344inseriswiss inseri core inseri-core में लापता प्राधिकरण गलत तरीके से कॉन्फ़िगर किए गए एक्सेस कंट्रोल सुरक्षा स्तरों का शोषण करने की अनुमति देता है। यह समस्या inseri core को प्रभावित करती है: n/a से लेकर <= 1.0.5 तक।
प्लगइन: इनसेरी कोर
प्रभावित घटक: /includes/rest_api.php
भेद्यता प्रकार: ब्रोकन एक्सेस कंट्रोल (अनुपलब्ध प्राधिकरण)
स्थिति: अगस्त 2026 में रिपोर्ट किया गया – डुप्लिकेट के रूप में बंद।
इस गर्मी में परीक्षण करते समय मुझे इनसेरी कोर वर्डप्रेस प्लगइन में एक ब्रोकन एक्सेस कंट्रोल भेद्यता मिली।
यह प्लगइन एक REST API एंडपॉइंट उजागर करता है जो “एक्सपोर्ट” बटन द्वारा उपयोग किया जाता है, जो किसी पोस्ट/पेज का आर्काइव डाउनलोड करने की अनुमति देता है। यह एंडपॉइंट वर्तमान उपयोगकर्ता की क्षमताओं या सामग्री की प्रकाशन स्थिति को ठीक से सत्यापित नहीं करता है।
परिणामस्वरूप, एक अप्रमाणित (या निम्न-विशेषाधिकार वाला) उपयोगकर्ता किसी पोस्ट का आर्काइव तब भी डाउनलोड कर सकता है, जब पोस्ट को ड्राफ्ट या हटाए गए पर सेट किया गया हो।
curl या ब्राउज़र के साथ); आर्काइव अभी भी डाउनलोड के लिए उपलब्ध रहता है।परिणाम: आर्काइव अभी भी सफलतापूर्वक लौटाया जाता है।