CVE-2025-10720
WP Private Content Plus <= 3.6.2 - Bypass della Protezione tramite Password
- Pubblicato
- 13 ott 2025
- Aggiornato
- 28 ott 2025
- Assegnazione CNA
- WPScan
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 22,6%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
WP Private Content Plus fino alla versione 3.6.2 offre una funzionalità di protezione globale dei contenuti che richiede una password. Tuttavia, il controllo dell'accesso si basa esclusivamente sulla presenza di un cookie lato client non protetto. Di conseguenza, un attaccante non autenticato può aggirare completamente la protezione tramite password impostando manualmente il valore del cookie nel proprio browser.
Fonti
1Proof-of-concept exploit per una vulnerabilità di bypass dell'autenticazione (CWE-565) in WP Private Content Plus v3.6.2, che consente l'accesso non autenticato a contenuti protetti da password tramite manipolazione dei cookie lato client.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.