CVE-2026-3829WP Encryption插件在7.8.5.10及之前的所有版本中存在严重的权限验证缺失漏洞。问题的根源在于`wple_basic_get_requests`函数未实施充分的能力检查机制。经过身份验证的攻击者，即便是仅拥有订阅者权限的低级别用户，也可利用此漏洞重置SSL安装状态、强制标记SSL为已完成状态以及修改付费计划选项。此类操作可能导致网站SSL配置被恶意篡改，进而破坏通信安全或导致服务中断。
该漏洞源于WP Encryption插件中的`wple_basic_get_requests`函数缺乏对用户权限的有效验证。在WordPress插件开发标准中，涉及数据修改的敏感操作通常必须使用`current_user_can()`函数来检查当前用户是否具备特定权限（例如`manage_options`）。然而，在受影响的版本中，该函数在处理请求时直接调用了修改数据的逻辑，而绕过了权限校验步骤。攻击者只需拥有一个有效的WordPress账户（如订阅者），即可向管理员后台发送特制的HTTP请求。通过构造特定的GET参数（例如触发重置或状态变更的参数），攻击者可以调用该函数并执行原本仅应由管理员执行的操作。这种逻辑缺陷构成了授权绕过，使得低权限用户能够非法干预网站的SSL配置。