Broken Access Control nel plugin Inseri Core (WordPress)

Plugin: Inseri Core
Componente interessato: /includes/rest_api.php
Tipo di vulnerabilità: Broken Access Control (Autorizzazione mancante)
Stato: Segnalato in agosto 2026– Chiuso come Duplicato.

---

Riepilogo

Durante i test di quest'estate, mi sono imbattuto in una vulnerabilità di Broken Access Control identificata nel plugin WordPress Inseri Core.

Il plugin espone un endpoint dell'API REST, utilizzato dal pulsante “Export”, che consente di scaricare un archivio di un post/pagina. Questo endpoint non verifica correttamente le capacità dell'utente corrente né lo stato di pubblicazione del contenuto.

Di conseguenza, un utente non autenticato (o con privilegi bassi) può scaricare l'archivio di un post anche quando il post è stato impostato su Bozza o Eliminato.

---

Passaggi per riprodurre

1. Installa e attiva il plugin Inseri Core.
2. Crea una pagina/post mentre sei connesso come utente che ha accesso all'interfaccia di Inseri.
3. Inserisci nella tua pagina il pulsante Inseri per Export.
4. Visualizza l'anteprima della pagina e fai clic su intercept quando avvii la richiesta di download/export (vedi il metodo di seguito).
5. Prendi nota dell'endpoint REST chiamato (nel mio caso era: http://localhost:8080/index.php?rest_route=/inseri-core/v1/archive/2)
6. Cambia lo stato della pagina/post in WordPress in Bozza o elimina definitivamente il post.
7. Richiedi nuovamente lo stesso endpoint (es. con curl o un browser); l'archivio rimane ancora disponibile per il download.

Risultato: L'archivio viene ancora restituito correttamente.

---