CVE-2026-16602: falha de alta gravidade em Passster
Content Protector (Passster) < 4.3.6 - Unauthenticated Non-Public Post Content Disclosure via Captcha REST Endpoint
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 7.5epss 0.4%
The Passster WordPress plugin before 4.3.6 does not perform a post-status check before returning post content from an unauthenticated REST endpoint, allowing unauthenticated users to disclose the content of non-public (draft, private, and pending) posts on sites that have a captcha provider configured.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
Unknown · PasssterPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/fcca0d1c-1a5b-4515-8182-d68f0759b978/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Passster
No mesmo produto, das mais perigosas para as menos.
CVE-2021-24881HIGHPassster < 3.5.5.9 - Protection Bypass & Arbitrary Post AccessEPSS 0.8%CVE-2022-3206MEDIUMPassster < 3.5.5.5.2 - Insecure Storage of PasswordEPSS 0.6%CVE-2026-16604HIGHContent Protector (Passster) < 4.3.6 - Unauthenticated Protected Content Disclosure via Content-Lock Block data-content AttributeEPSS 0.4%CVE-2026-16603HIGHContent Protector (Passster) < 4.3.6 - Unauthenticated Category-Locked Content Disclosure via Core REST APIEPSS 0.4%CVE-2021-24837—Passster < 3.5.5.8 - Contributor+ Stored Cross-Site ScriptingEPSS 0.4%CVE-2025-15490MEDIUMPassster < 4.2.26 - Global Protection BypassEPSS 0.4%