CVE-2026-59526

Wtyczka MapSVG zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka MapSVG (mapsvg-lite-interactive-vector-maps) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Podatność występuje w wersjach od n/a do 8.16.1.

Wtyczka MapSVG zawiera podatność braku autoryzacji, która pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.

Wtyczka MapSVG w wersji 8.14.0 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący.

MapSVG w wersjach do 8.14.0 zawiera podatność na dowolne przesyłanie plików przez administratora. Administrator może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu na serwerze.

Wtyczka MapSVG do WordPressa (wersje do 8.16.1) zawiera podatność typu Path Traversal polegającą na niewłaściwym ograniczeniu ścieżki do katalogu. Może to pozwolić atakującemu na dostęp do plików poza zamierzonym katalogiem.

MapSVG w wersjach do 8.15.0 zawiera podatność na nieuwierzytelniony Server Side Request Forgery (SSRF). Atakujący może wysyłać żądania z serwera do dowolnych zasobów, w tym wewnętrznych, bez uwierzytelnienia.

Wtyczka MapSVG dla WordPressa do wersji 8.14.0 włącznie jest podatna na przechowywany atak XSS przez atrybuty w opcjach mapy. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdej wizycie na zainfekowanej stronie.

Wtyczka MapSVG w wersji do 8.14.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych.