CVE-2026-28144
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WP Maps dla WordPressa (wersje do 4.9.6 włącznie) zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych. Umożliwia to odzyskanie osadzonych wrażliwych danych.
Ocena ryzyka
Organizacja naraża się na wyciek wrażliwych danych osadzonych w mapach, które mogą zostać odzyskane przez atakującego.
Rekomendacja
Należy zaktualizować wtyczkę WP Maps do wersji 4.9.7 lub nowszej, która zawiera poprawkę.
Inne podatności w WP Maps
Zobacz wszystkie- CVE-2026-39492Krytyczne
W wersjach WP Maps do 4.9.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-18466Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.
- CVE-2026-16265Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie ogranicza operacji, którą wywołuje. Umożliwia to użytkownikom z kontem Subscriber wywołanie niekontrolowanej rekurencji, która wyczerpuje zasoby serwera, prowadząc do odmowy usługi.
- CVE-2026-16263Wysokie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie waliduje poprawnie ścieżki kontrolowanej przez użytkownika przed użyciem jej w dołączaniu plików. Umożliwia to użytkownikom z kontem Subscriber dołączanie i wykonywanie dowolnych istniejących lokalnych plików PHP na serwerze.
- CVE-2026-9594Średnie
Wtyczka WP Maps dla WordPress do wersji 4.9.4 zawiera podatność na Stored XSS przez parametr 'location_messages'. Atakujący z uprawnieniami administratora (lub niższymi, jeśli nadano odpowiednie uprawnienia) mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information Into Sent Data vulnerability in Flipper Code WP Maps allows Retrieve Embedded Sensitive Data. This issue affects WP Maps: from n/a through 4.9.6.