CVE-2026-16263
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie waliduje poprawnie ścieżki kontrolowanej przez użytkownika przed użyciem jej w dołączaniu plików. Umożliwia to użytkownikom z kontem Subscriber dołączanie i wykonywanie dowolnych istniejących lokalnych plików PHP na serwerze.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania dowolnego istniejącego pliku PHP na serwerze przez użytkownika z niskimi uprawnieniami, co może prowadzić do przejęcia kontroli nad serwerem lub ujawnienia wrażliwych danych.
Rekomendacja
Zaleca się aktualizację wtyczki WP Maps do wersji 4.9.7 lub nowszej. Należy również dokładnie walidować wszystkie ścieżki plików i ograniczyć dostęp do akcji AJAX.
Inne podatności w WP Maps
Zobacz wszystkie- CVE-2026-66618Wysokie
Wtyczka WordPress WP Maps w wersjach do 4.9.9 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.
- CVE-2026-39492Krytyczne
W wersjach WP Maps do 4.9.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-13179Średnie
Wtyczka WP Maps dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr shapes_values w wersjach do 4.9.8 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nonce fc-call-nonce jest ujawniany wszystkim odwiedzającym stronę z mapą, a dodatkowe sprawdzenie _wpnonce można obejść pomijając ten parametr.
- CVE-2026-18466Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.
- CVE-2026-16265Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie ogranicza operacji, którą wywołuje. Umożliwia to użytkownikom z kontem Subscriber wywołanie niekontrolowanej rekurencji, która wyczerpuje zasoby serwera, prowadząc do odmowy usługi.
- CVE-2026-28144Średnie
Wtyczka WP Maps dla WordPressa (wersje do 4.9.6 włącznie) zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych. Umożliwia to odzyskanie osadzonych wrażliwych danych.
- CVE-2026-9594Średnie
Wtyczka WP Maps dla WordPress do wersji 4.9.4 zawiera podatność na Stored XSS przez parametr 'location_messages'. Atakujący z uprawnieniami administratora (lub niższymi, jeśli nadano odpowiednie uprawnienia) mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.
- CVE-2025-13364Średnie
Wtyczka WP Maps dla WordPressa jest podatna na przechowywany atak XSS przez shortcode 'put_wpgm' w wersjach do 4.8.7 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia atrybutów shortcode.
- CVE-2025-67535Średnie
Wtyczka WP Maps (wp-google-map-plugin) firmy Flipper Code jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji do 4.8.6 włącznie.
Oryginalny opis (angielski, źródło NVD)
The WP Maps WordPress plugin before 4.9.7 does not perform a capability check in one of its AJAX actions and does not properly validate a user-controlled path before using it in a file inclusion, allowing users with a Subscriber account to include and execute arbitrary existing local PHP files on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS