CVE-2026-8935
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP MAPS PRO przed wersją 6.1.1 rejestruje nieuwierzytelnioną akcję AJAX, która – mając ważny nonce publicznie emitowany na każdej stronie frontendu korzystającej ze skryptu mapy – bezwarunkowo tworzy konto administratora i zwraca magiczny link logowania, dający interaktywny dostęp administracyjny.
Ocena ryzyka
Każdy nieuwierzytelniony użytkownik może uzyskać pełny dostęp administracyjny do WordPressa, co prowadzi do całkowitego przejęcia witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WP MAPS PRO do wersji 6.1.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The WP MAPS PRO WordPress plugin before 6.1.1 registers an unauthenticated AJAX action which, given a valid nonce that is publicly emitted on any frontend page enqueuing its map script, unconditionally creates an administrator account and returns a magic-login URL granting interactive admin access.