Podatności WP Go Maps

Wtyczka WP Go Maps dla WordPressa w wersji 10.1.04 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.

Wtyczka WP Go Maps dla WordPressa przed wersją 10.1.04 nieprawidłowo sanityzuje i escapuje parametr przed użyciem go w zapytaniu SQL, umożliwiając nieuwierzytelnionym użytkownikom przeprowadzenie ataków SQL injection.

Wtyczka WordPress WP Go Maps przed wersją 10.0.10 nie filtruje stanu zatwierdzenia w publicznym punkcie końcowym REST dla pojedynczego markera, co pozwala nieuwierzytelnionym użytkownikom na pobranie rekordów markerów, które nie zostały jeszcze zatwierdzone przez administratora, w tym danych osobowych (PII) w polach adresu i opisu oraz współrzędnych geograficznych.

Wtyczka WP Go Maps dla WordPressa przed wersją 10.0.10 nie egzekwuje prawidłowo filtra zatwierdzania markerów na ścieżce admin-ajax dla swoich tras datatables. Umożliwia to nieuwierzytelnionym odwiedzającym pobieranie rekordów markerów, które właściciel witryny nie zatwierdził do publicznego wyświetlania, w tym ich tytułu, kategorii, adresu i opisu.