CVE-2026-12954
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka Mapster WP Maps dla WordPressa jest podatna na zapis dowolnych metadanych użytkownika we wszystkich wersjach do 1.23.0 włącznie poprzez funkcję my_profile_update(). Brak weryfikacji nonce, sprawdzenia uprawnień i walidacji klucza meta pozwala uwierzytelnionemu atakującemu z poziomem Subscriber modyfikować dowolne metadane użytkowników.
Ocena ryzyka
Atakujący z podstawowym kontem może modyfikować metadane innych użytkowników, co może prowadzić do manipulacji danymi i obejścia mechanizmów bezpieczeństwa, choć eskalacja uprawnień nie jest możliwa.
Rekomendacja
Zaktualizuj wtyczkę Mapster WP Maps do wersji nowszej niż 1.23.0 lub wyłącz ją do czasu wdrożenia poprawki.
Inne podatności w Mapster WP Maps
Zobacz wszystkie- CVE-2026-39720Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mapster WP Maps w wersjach do 2.0.4.
- CVE-2025-9044Średnie
Wtyczka Mapster WP Maps dla WordPressa (wersje do 1.20.0 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez wiele pól z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami na poziomie współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Mapster WP Maps plugin for WordPress is vulnerable to Arbitrary User Meta Write in all versions up to, and including, 1.23.0 via the `my_profile_update()` function. This is due to the function performing no nonce verification, no capability check, and no allowlist validation on the meta key supplied via the `acf-photo-gallery-groups` POST parameter before passing both the meta key and its corresponding value directly to `update_user_meta()`. This makes it possible for authenticated attackers, with Subscriber-level access and above, to update arbitrary user meta values, though privilege escalation is not possible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS