CVE-2026-8839
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Wtyczka MapPress Maps dla WordPress do wersji 2.96.6 zawiera lukę w autoryzacji w REST API. Brak weryfikacji własności map pozwala nieuwierzytelnionym atakującym na odczyt danych map (tytuły, adresy, współrzędne, treść) oraz uwierzytelnionym (od roli Contributor) na modyfikację, usunięcie lub klonowanie dowolnej mapy.
Ocena ryzyka
Atakujący może wykraść poufne dane geolokalizacyjne oraz przejąć kontrolę nad mapami, co może prowadzić do naruszenia prywatności i integralności treści.
Rekomendacja
Zaktualizuj wtyczkę MapPress Maps do najnowszej wersji, która zawiera poprawki autoryzacji.
Inne podatności w MapPress Maps for WordPress
Zobacz wszystkie- CVE-2026-65564Średnie
Wtyczka MapPress Maps for WordPress w wersji 2.97.6 i starszych ujawnia wrażliwe dane bez wymaganego uwierzytelnienia. Niezalogowany atakujący może uzyskać dostęp do poufnych informacji.
- CVE-2026-56011Wysokie
Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce MapPress Maps dla WordPress w wersjach do 2.97.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
The MapPress Maps for WordPress plugin for WordPress is vulnerable to Authorization Bypass Through User-Controlled Key in all versions up to, and including, 2.96.6. This is due to missing ownership verification in the REST API routes registered via `Mappress_Api::rest_api_init()`, where the GET `/wp-json/mapp/v1/maps/{mapid}` endpoint uses `'permission_callback' => '__return_true'` and the write endpoints (POST update, DELETE, PATCH mutate, POST clone, POST empty_trash) only check the generic `edit_posts` capability without confirming that the requester owns the targeted map — a gap that is not compensated at the model layer, as `Mappress_Map::get()`, `save()`, `delete()`, `mutate()`, and `empty_trash()` all operate on any caller-supplied map ID without an ownership check. This makes it possible for unauthenticated attackers to read sensitive map data — including POI titles, addresses, coordinates, and body content — for any map on the site by enumerating map IDs, and for authenticated attackers with Contributor-level access and above to modify, delete, trash/restore, or clone any map regardless of its author.