CVE-2026-118638
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.
Ocena ryzyka
Atakujący może modyfikować treści w witrynie, tworzyć nieautoryzowane wpisy i zmieniać konfigurację wtyczki, co prowadzi do defacementu i utraty integralności danych. Może to również służyć do rozpowszechniania niechcianych treści.
Rekomendacja
Zaktualizuj wtyczkę Mapster WP Maps do wersji 2.0.6 lub nowszej. Przejrzyj wpisy i ustawienia wtyczki pod kątem nieautoryzowanych zmian.
Inne podatności w Mapster WP Maps
Zobacz wszystkie- CVE-2026-107743Wysokie
Wtyczka Mapster WP Maps dla WordPressa w wersjach do 2.0.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS). Wynika to z trasy REST /wp-json/mapster-wp-maps/save-mapmaker zarejestrowanej z permission_callback zwracającym bezwarunkowo true oraz z faktu, że funkcja mapster_write_config_to_acf() sanityzuje tylko wartości tekstowe przez sanitize_text_field(), a renderer shortcode mapster_wp_map konkatenuje zapisaną wartość loading_background_color do atrybutu style bez esc_attr(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.
- CVE-2026-39720Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mapster WP Maps w wersjach do 2.0.4.
- CVE-2026-12954Wysokie
Wtyczka Mapster WP Maps dla WordPressa jest podatna na zapis dowolnych metadanych użytkownika we wszystkich wersjach do 1.23.0 włącznie poprzez funkcję my_profile_update(). Brak weryfikacji nonce, sprawdzenia uprawnień i walidacji klucza meta pozwala uwierzytelnionemu atakującemu z poziomem Subscriber modyfikować dowolne metadane użytkowników.
- CVE-2025-9044Średnie
Wtyczka Mapster WP Maps dla WordPressa (wersje do 1.20.0 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez wiele pól z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami na poziomie współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Mapster WP Maps WordPress plugin before 2.0.6 does not perform any authorization check on a REST API route that writes post data, allowing unauthenticated attackers to overwrite the title of arbitrary posts, create arbitrary published posts, and overwrite the Mapster WP Maps WordPress plugin before 2.0.6's stored settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS