CVE-2026-114703

Wtyczka Extensions for Leaflet Map dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez parametr 'feature.properties[<template-token>]' we wszystkich wersjach do 5.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga wcześniejszego skonfigurowania przez administratora publicznej mapy z kombinacją shortcode'ów [leaflet-map]+[leaflet-geojson]+[choropleth], której adres URL źródła GeoJSON jest kontrolowany przez atakującego.

Wtyczka Extensions for Leaflet Map do WordPressa zawiera podatność na atak XSS oparty na DOM. Luka występuje w wersjach do 5.1 włącznie i pozwala atakującemu na wstrzyknięcie złośliwego skryptu.

Wtyczka Extensions for Leaflet Map dla WordPressa (wersje do 4.8) jest podatna na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wprowadzić złośliwy kod, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Extensions for Leaflet Map dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez shortcode `geojsonmarker` we wszystkich wersjach do 4.7 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów dostarczanych przez użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.