Podatności GEO my WP
3 znanych podatności CVE w GEO my WP, przetłumaczonych i ocenionych.
- CVE-2026-15300Krytyczne
Wtyczka GEO my WP dla WordPressa do wersji 4.5.4 włącznie zawiera podatność na iniekcję SQL przez parametry 'distance', 'lat' i 'lng'. Wartości te są odczytywane z $_SERVER['QUERY_STRING'] przez parse_str() (z pominięciem wp_magic_quotes), a następnie przekazywane przez esc_sql() do zapytania o wyszukiwanie lokalizacji, gdzie są używane w kontekście numerycznym, co pozwala na atak.
- CVE-2026-15260Średnie
Wtyczka GEO my WP do WordPressa przed wersją 4.5.5.3 nie sprawdza własności ani uprawnień w dwóch akcjach AJAX dla zalogowanych użytkowników. Pozwala to użytkownikom od poziomu subskrybenta w górę na modyfikowanie lub trwałe usuwanie rekordów geolokalizacji innych użytkowników i postów poprzez podanie dowolnych ID rekordów.
- CVE-2026-9757Wysokie
Wtyczka GEO my WP dla WordPress do wersji 4.5.5 zawiera podatność na wstrzykiwanie SQL przez parametry 'swlatlng' i 'nelatlng', umożliwiającą nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL i ekstrakcję wrażliwych danych. Wymaga to opublikowania shortcode'a z wynikami wyszukiwania lokalizacji.