CVE-2026-15260
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka GEO my WP do WordPressa przed wersją 4.5.5.3 nie sprawdza własności ani uprawnień w dwóch akcjach AJAX dla zalogowanych użytkowników. Pozwala to użytkownikom od poziomu subskrybenta w górę na modyfikowanie lub trwałe usuwanie rekordów geolokalizacji innych użytkowników i postów poprzez podanie dowolnych ID rekordów.
Ocena ryzyka
Organizacja ryzykuje utratę lub modyfikację danych geolokalizacyjnych innych użytkowników, co może prowadzić do naruszenia prywatności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę GEO my WP do wersji 4.5.5.3 lub nowszej, która zawiera odpowiednie sprawdzanie uprawnień.
Inne podatności w GEO my WP
Zobacz wszystkie- CVE-2026-15300Krytyczne
Wtyczka GEO my WP dla WordPressa do wersji 4.5.4 włącznie zawiera podatność na iniekcję SQL przez parametry 'distance', 'lat' i 'lng'. Wartości te są odczytywane z $_SERVER['QUERY_STRING'] przez parse_str() (z pominięciem wp_magic_quotes), a następnie przekazywane przez esc_sql() do zapytania o wyszukiwanie lokalizacji, gdzie są używane w kontekście numerycznym, co pozwala na atak.
- CVE-2026-9757Wysokie
Wtyczka GEO my WP dla WordPress do wersji 4.5.5 zawiera podatność na wstrzykiwanie SQL przez parametry 'swlatlng' i 'nelatlng', umożliwiającą nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL i ekstrakcję wrażliwych danych. Wymaga to opublikowania shortcode'a z wynikami wyszukiwania lokalizacji.
Oryginalny opis (angielski, źródło NVD)
The GEO my WP WordPress plugin before 4.5.5.3 does not perform any ownership or capability check on two of its logged-in AJAX actions, allowing users with subscriber-level access or above to modify or permanently delete other users' and posts' geolocation records by supplying arbitrary record IDs.