CVE-2026-8385
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WP Go Maps dla WordPressa przed wersją 10.0.10 nie egzekwuje prawidłowo filtra zatwierdzania markerów na ścieżce admin-ajax dla swoich tras datatables. Umożliwia to nieuwierzytelnionym odwiedzającym pobieranie rekordów markerów, które właściciel witryny nie zatwierdził do publicznego wyświetlania, w tym ich tytułu, kategorii, adresu i opisu.
Ocena ryzyka
Nieuwierzytelnieni użytkownicy mogą uzyskać dostęp do niezatwierdzonych markerów, co może ujawnić wrażliwe informacje, takie jak adresy lub opisy, które nie są przeznaczone do publicznego wglądu.
Rekomendacja
Zaleca się aktualizację wtyczki WP Go Maps do wersji 10.0.10 lub nowszej.
Inne podatności w WP Go Maps
Zobacz wszystkie- CVE-2026-25466Średnie
Wtyczka WP Go Maps dla WordPressa w wersji 10.1.04 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2026-84780Średnie
Nieuwierzytelniony atak typu Denial of Service (DoS) w wtyczce WP Go Maps w wersjach do 10.1.08.
- CVE-2026-15381Niskie
Wtyczka WP Go Maps dla WordPressa przed wersją 10.1.04 nieprawidłowo sanityzuje i escapuje parametr przed użyciem go w zapytaniu SQL, umożliwiając nieuwierzytelnionym użytkownikom przeprowadzenie ataków SQL injection.
- CVE-2026-8386Średnie
Wtyczka WordPress WP Go Maps przed wersją 10.0.10 nie filtruje stanu zatwierdzenia w publicznym punkcie końcowym REST dla pojedynczego markera, co pozwala nieuwierzytelnionym użytkownikom na pobranie rekordów markerów, które nie zostały jeszcze zatwierdzone przez administratora, w tym danych osobowych (PII) w polach adresu i opisu oraz współrzędnych geograficznych.
- CVE-2025-11166Średnie
Wtyczka WP Go Maps (dawniej WP Google Maps) dla WordPress jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 9.0.46 włącznie. Wynika to z udostępniania akcji REST zmieniających stan przez most AJAX bez prawidłowej walidacji tokenu CSRF oraz destrukcyjnej logiki dostępnej przez żądania GET bez permission_callback.
Oryginalny opis (angielski, źródło NVD)
The WP Go Maps WordPress plugin before 10.0.10 does not properly enforce the marker approval filter on the admin-ajax fallback for its datatables route, allowing unauthenticated visitors to retrieve marker records that the site owner has not approved for public display, including their title, category, address and description fields.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS