CVE-2026-13736

总结

NewPath WildApricotPress Add-on WordPress 插件至 1.0.0 版本未在未认证的 REST 路由上强制执行其仅限成员可见的字段隐私设置，导致匿名访问者能够读取配置为仅对成员可见的成员电子邮件地址和电话号码。

来源

• CVE-2026-13736PoC

  针对 WordPress REST API 目录插件中未认证成员个人身份信息（PII）泄露的概念验证（PoC）漏洞利用与技术公告，包括根本原因分析、PoC 代码及修复指南。