CVE-2026-19798
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wtyczka Wp Map Block dla WordPressa jest podatna na nieautoryzowane modyfikacje danych z powodu braku kontroli możliwości funkcji set_status() i luzem() w kontrolerze REST Maps_Controller w wersjach do 3.0.0 włącznie. Pozwolenie_callback wtyczki (can_edit()) weryfikuje jedynie current_user_can('edit_posts') i nie przeprowadza kontroli własności na poziomie obiektu ani weryfikacji możliwości na poziomie publikowania, podczas gdy procedury obsługi przekazują kontrolowany przez wywołującego identyfikator mapy bezpośrednio do wp_update_post() (i wp_delete_post() w gałęzi usuwania zbiorczego), aby zmienić post_status między publikacją a wersją roboczą. Dzięki temu uwierzytelnieni atakujący z dostępem na poziomie dostawcy i wyższym mogą opublikować lub cofnąć publikację (i zbiorcze usunięcie) dowolnego wpisu wpmb_map, w tym map należących do administratorów, co ukrywa opublikowane mapy przed wszystkimi stronami publicznymi w całej witrynie lub wymusza, aby wersje robocze map stały się publicznie widoczne.
>_ Słabości (CWE)
>_ Referencje
- https://plugins.trac.wordpress.org/browser/wp-map-block/tags/3.0.0/includes/Rest/Maps_Controller.php#L124
- https://plugins.trac.wordpress.org/browser/wp-map-block/tags/3.0.0/includes/Rest/Maps_Controller.php#L237
- https://plugins.trac.wordpress.org/browser/wp-map-block/tags/3.0.0/includes/Rest/Maps_Controller.php#L262
- https://plugins.trac.wordpress.org/browser/wp-map-block/tags/3.0.0/includes/Rest/Maps_Controller.php#L63
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3730836%40wp-map-block&new=3730836%40wp-map-block
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b42f1f71-e272-48d4-9b3f-4360b287e16f?source=cve
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org