CVE-2026-59527

Wtyczka MapSVG w wersji do 8.14.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych.

Wtyczka MapSVG w wersji do 8.14.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych.

Wtyczka MapSVG w wersji 8.14.0 i starszych zawiera podatność na Cross Site Scripting (XSS) z poziomu kontrybutora. Atakujący z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.

MapSVG w wersjach do 8.14.0 zawiera podatność na dowolne przesyłanie plików przez administratora. Administrator może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu na serwerze.

Wtyczka MapSVG w wersjach do 8.14.0 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.

MapSVG w wersjach do 8.15.0 zawiera podatność na nieuwierzytelniony Server Side Request Forgery (SSRF). Atakujący może wysyłać żądania z serwera do dowolnych zasobów, w tym wewnętrznych, bez uwierzytelnienia.

Wtyczka MapSVG dla WordPressa do wersji 8.14.0 włącznie jest podatna na przechowywany atak XSS przez atrybuty w opcjach mapy. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdej wizycie na zainfekowanej stronie.

Podatność wtyczki MapSVG dla WordPress (wszystkie wersje do 8.14.0) umożliwia przesyłanie dowolnych plików z powodu braku walidacji typu pliku w konstruktorze SVGFile. Błąd w warunku warunkowym uniemożliwia walidację. Atak wymaga dostępu administratora.