CVE-2025-13364
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WP Maps dla WordPressa jest podatna na przechowywany atak XSS przez shortcode 'put_wpgm' w wersjach do 4.8.7 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia atrybutów shortcode.
Ocena ryzyka
Autoryzowani atakujący z dostępem na poziomie współautora mogą wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania strony, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę WP Maps do najnowszej wersji. Ogranicz dostęp do kont o niskich uprawnieniach i regularnie audytuj treści.
Inne podatności w WP Maps
Zobacz wszystkie- CVE-2026-66618Wysokie
Wtyczka WordPress WP Maps w wersjach do 4.9.9 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.
- CVE-2026-39492Krytyczne
W wersjach WP Maps do 4.9.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-13179Średnie
Wtyczka WP Maps dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr shapes_values w wersjach do 4.9.8 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nonce fc-call-nonce jest ujawniany wszystkim odwiedzającym stronę z mapą, a dodatkowe sprawdzenie _wpnonce można obejść pomijając ten parametr.
- CVE-2026-18466Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.
- CVE-2026-16265Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie ogranicza operacji, którą wywołuje. Umożliwia to użytkownikom z kontem Subscriber wywołanie niekontrolowanej rekurencji, która wyczerpuje zasoby serwera, prowadząc do odmowy usługi.
- CVE-2026-16263Wysokie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie waliduje poprawnie ścieżki kontrolowanej przez użytkownika przed użyciem jej w dołączaniu plików. Umożliwia to użytkownikom z kontem Subscriber dołączanie i wykonywanie dowolnych istniejących lokalnych plików PHP na serwerze.
- CVE-2026-28144Średnie
Wtyczka WP Maps dla WordPressa (wersje do 4.9.6 włącznie) zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych. Umożliwia to odzyskanie osadzonych wrażliwych danych.
- CVE-2026-9594Średnie
Wtyczka WP Maps dla WordPress do wersji 4.9.4 zawiera podatność na Stored XSS przez parametr 'location_messages'. Atakujący z uprawnieniami administratora (lub niższymi, jeśli nadano odpowiednie uprawnienia) mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.
Oryginalny opis (angielski, źródło NVD)
The WP Maps – Store Locator,Google Maps,OpenStreetMap,Mapbox,Listing,Directory & Filters plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'put_wpgm' shortcode in all versions up to, and including, 4.8.7. This is due to insufficient input sanitization and output escaping on user-supplied shortcode attributes. This makes it possible for authenticated attackers, with contributor level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS