CVE-2026-80333 Solace Extra 未授权访问漏洞
影响未授权访问者可读取未发布文章和页面的内容
AI 研判
Solace Extra 是 WordPress 的一个插件，其前端预览路由缺少授权与文章状态校验。未认证的访问者可直接访问这些路由，读取本不应对外提供的非公开文章和页面内容。
影响范围
Solace Extra WordPress 插件
Solace Extra WordPress 插件 1.7.2 之前的版本。
漏洞详情
漏洞属于未授权访问（缺失授权检查）。插件的前端预览路由在处理请求时，未验证用户身份，也未检查目标文章或页面的发布状态，导致草稿、私有等非公开内容被渲染并返回给任意访问者。攻击者只需构造对应预览请求即可读取内容，无需登录。
利用条件与风险
利用无需任何认证，远程即可触发，但仅造成信息泄露，不涉及代码执行或数据篡改，实战风险中等。
修复建议
升级 Solace Extra 插件至 1.7.2 或更高版本。若暂无法升级，可考虑停用该插件或限制对相关预览路由的访问。
原始情报
The Solace Extra WordPress plugin before 1.7.2 does not perform any authorization or post-status checks on its front-end preview routes, allowing unauthenticated visitors to read the rendered content of non-published posts and pages of any type that WordPress would otherwise not serve.