CVE-2026-8386
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Go Maps przed wersją 10.0.10 nie filtruje stanu zatwierdzenia w publicznym punkcie końcowym REST dla pojedynczego markera, co pozwala nieuwierzytelnionym użytkownikom na pobranie rekordów markerów, które nie zostały jeszcze zatwierdzone przez administratora, w tym danych osobowych (PII) w polach adresu i opisu oraz współrzędnych geograficznych.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać dostęp do niezatwierdzonych danych markerów, w tym danych osobowych, co narusza prywatność użytkowników i może prowadzić do wycieku informacji.
Rekomendacja
Należy zaktualizować wtyczkę WP Go Maps do wersji 10.0.10 lub nowszej, która zawiera poprawkę filtrowania stanu zatwierdzenia.
Inne podatności w WP Go Maps
Zobacz wszystkie- CVE-2026-25466Średnie
Wtyczka WP Go Maps dla WordPressa w wersji 10.1.04 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2026-15381Niskie
Wtyczka WP Go Maps dla WordPressa przed wersją 10.1.04 nieprawidłowo sanityzuje i escapuje parametr przed użyciem go w zapytaniu SQL, umożliwiając nieuwierzytelnionym użytkownikom przeprowadzenie ataków SQL injection.
- CVE-2026-8385Średnie
Wtyczka WP Go Maps dla WordPressa przed wersją 10.0.10 nie egzekwuje prawidłowo filtra zatwierdzania markerów na ścieżce admin-ajax dla swoich tras datatables. Umożliwia to nieuwierzytelnionym odwiedzającym pobieranie rekordów markerów, które właściciel witryny nie zatwierdził do publicznego wyświetlania, w tym ich tytułu, kategorii, adresu i opisu.
Oryginalny opis (angielski, źródło NVD)
The WP Go Maps WordPress plugin before 10.0.10 does not perform any approval-state filtering on its public single-marker REST endpoint, allowing unauthenticated users to retrieve marker records that an administrator has not yet approved for public display, including any PII placed in the address and description fields and the marker's geographic coordinates.