CVE-2026-13179
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka WP Maps dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr shapes_values w wersjach do 4.9.8 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nonce fc-call-nonce jest ujawniany wszystkim odwiedzającym stronę z mapą, a dodatkowe sprawdzenie _wpnonce można obejść pomijając ten parametr.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę.
Rekomendacja
Zaktualizuj wtyczkę WP Maps do wersji nowszej niż 4.9.8, która naprawia podatność Stored XSS w parametrze shapes_values.
Inne podatności w WP Maps
Zobacz wszystkie- CVE-2026-66618Wysokie
Wtyczka WordPress WP Maps w wersjach do 4.9.9 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.
- CVE-2026-39492Krytyczne
W wersjach WP Maps do 4.9.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-18466Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.
- CVE-2026-16265Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie ogranicza operacji, którą wywołuje. Umożliwia to użytkownikom z kontem Subscriber wywołanie niekontrolowanej rekurencji, która wyczerpuje zasoby serwera, prowadząc do odmowy usługi.
- CVE-2026-16263Wysokie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie waliduje poprawnie ścieżki kontrolowanej przez użytkownika przed użyciem jej w dołączaniu plików. Umożliwia to użytkownikom z kontem Subscriber dołączanie i wykonywanie dowolnych istniejących lokalnych plików PHP na serwerze.
- CVE-2026-28144Średnie
Wtyczka WP Maps dla WordPressa (wersje do 4.9.6 włącznie) zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych. Umożliwia to odzyskanie osadzonych wrażliwych danych.
- CVE-2026-9594Średnie
Wtyczka WP Maps dla WordPress do wersji 4.9.4 zawiera podatność na Stored XSS przez parametr 'location_messages'. Atakujący z uprawnieniami administratora (lub niższymi, jeśli nadano odpowiednie uprawnienia) mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.
Oryginalny opis (angielski, źródło NVD)
The WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters plugin for WordPress is vulnerable to Stored Cross-Site Scripting via shapes_values Parameter in all versions up to, and including, 4.9.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The fc-call-nonce nonce required by the endpoint is exposed to all frontend visitors who view a map page via window.wpgmp_local.nonce, enabling any authenticated subscriber to read the nonce and craft a valid request; additionally, the secondary _wpnonce check in the drawing handler can be bypassed by simply omitting the _wpnonce parameter from the request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS