CVE-2026-85200
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Wtyczka GEO my WP dla WordPressa w wersjach do 4.5.5.3 włącznie jest podatna na lokalne włączenie plików (LFI) poprzez funkcję gmw_posts_locator_ajax_info_window_loader. Umożliwia to nieuwierzytelnionemu atakującemu włączenie i wykonanie dowolnych plików .php na serwerze, co może posłużyć do obejścia kontroli dostępu, uzyskania poufnych danych lub wykonania kodu. W środowiskach z zainstalowanym PEAR i włączonym register_argc_argv podatność może zostać wykorzystana do zapisu i wykonania dowolnego kodu PHP, prowadząc do pełnego zdalnego wykonania kodu.
Ocena ryzyka
Podatność pozwala nieuwierzytelnionemu atakującemu na włączenie i wykonanie plików PHP na serwerze, co może prowadzić do wycieku danych lub pełnego przejęcia systemu. W niektórych konfiguracjach możliwe jest pełne zdalne wykonanie kodu.
Rekomendacja
Zaktualizuj wtyczkę GEO my WP do wersji nowszej niż 4.5.5.3. Rozważ wyłączenie register_argc_argv oraz usunięcie PEAR, jeśli nie są wymagane.
Inne podatności w GEO my WP
Zobacz wszystkie- CVE-2026-15300Krytyczne
Wtyczka GEO my WP dla WordPressa do wersji 4.5.4 włącznie zawiera podatność na iniekcję SQL przez parametry 'distance', 'lat' i 'lng'. Wartości te są odczytywane z $_SERVER['QUERY_STRING'] przez parse_str() (z pominięciem wp_magic_quotes), a następnie przekazywane przez esc_sql() do zapytania o wyszukiwanie lokalizacji, gdzie są używane w kontekście numerycznym, co pozwala na atak.
- CVE-2026-15260Średnie
Wtyczka GEO my WP do WordPressa przed wersją 4.5.5.3 nie sprawdza własności ani uprawnień w dwóch akcjach AJAX dla zalogowanych użytkowników. Pozwala to użytkownikom od poziomu subskrybenta w górę na modyfikowanie lub trwałe usuwanie rekordów geolokalizacji innych użytkowników i postów poprzez podanie dowolnych ID rekordów.
- CVE-2026-9757Wysokie
Wtyczka GEO my WP dla WordPress do wersji 4.5.5 zawiera podatność na wstrzykiwanie SQL przez parametry 'swlatlng' i 'nelatlng', umożliwiającą nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL i ekstrakcję wrażliwych danych. Wymaga to opublikowania shortcode'a z wynikami wyszukiwania lokalizacji.
Oryginalny opis (angielski, źródło NVD)
The GEO my WP plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 4.5.5.3 via the gmw_posts_locator_ajax_info_window_loader function. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. In environments where PEAR is installed with register_argc_argv enabled, this file inclusion can be leveraged to write and execute arbitrary PHP code, achieving full remote code execution.