CVE-2026-9594
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WP Maps dla WordPress do wersji 4.9.4 zawiera podatność na Stored XSS przez parametr 'location_messages'. Atakujący z uprawnieniami administratora (lub niższymi, jeśli nadano odpowiednie uprawnienia) mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji lub przekierowań.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień do zarządzania lokalizacjami tylko dla zaufanych użytkowników.
Inne podatności w WP Maps
Zobacz wszystkie- CVE-2026-66618Wysokie
Wtyczka WordPress WP Maps w wersjach do 4.9.9 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.
- CVE-2026-39492Krytyczne
W wersjach WP Maps do 4.9.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-13179Średnie
Wtyczka WP Maps dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr shapes_values w wersjach do 4.9.8 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nonce fc-call-nonce jest ujawniany wszystkim odwiedzającym stronę z mapą, a dodatkowe sprawdzenie _wpnonce można obejść pomijając ten parametr.
- CVE-2026-18466Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.
- CVE-2026-16265Średnie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie ogranicza operacji, którą wywołuje. Umożliwia to użytkownikom z kontem Subscriber wywołanie niekontrolowanej rekurencji, która wyczerpuje zasoby serwera, prowadząc do odmowy usługi.
- CVE-2026-16263Wysokie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.7 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX i nie waliduje poprawnie ścieżki kontrolowanej przez użytkownika przed użyciem jej w dołączaniu plików. Umożliwia to użytkownikom z kontem Subscriber dołączanie i wykonywanie dowolnych istniejących lokalnych plików PHP na serwerze.
- CVE-2026-28144Średnie
Wtyczka WP Maps dla WordPressa (wersje do 4.9.6 włącznie) zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych. Umożliwia to odzyskanie osadzonych wrażliwych danych.
- CVE-2025-13364Średnie
Wtyczka WP Maps dla WordPressa jest podatna na przechowywany atak XSS przez shortcode 'put_wpgm' w wersjach do 4.8.7 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia atrybutów shortcode.
- CVE-2025-67535Średnie
Wtyczka WP Maps (wp-google-map-plugin) firmy Flipper Code jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji do 4.8.6 włącznie.
Oryginalny opis (angielski, źródło NVD)
The WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'location_messages' parameter in all versions up to, and including, 4.9.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the attacker to hold the custom wpgmp_manage_location capability, which is granted to administrators by default but can be assigned to lower-privileged roles via the plugin's Permissions screen.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS