CVE-2025-9044
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Mapster WP Maps dla WordPressa (wersje do 1.20.0 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez wiele pól z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami na poziomie współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, modyfikacji treści lub innych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj wtyczkę Mapster WP Maps do wersji nowszej niż 1.20.0, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji rozważ ograniczenie uprawnień współpracowników lub wyłączenie wtyczki.
Inne podatności w Mapster WP Maps
Zobacz wszystkie- CVE-2026-118638Wysokie
Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.
- CVE-2026-107743Wysokie
Wtyczka Mapster WP Maps dla WordPressa w wersjach do 2.0.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS). Wynika to z trasy REST /wp-json/mapster-wp-maps/save-mapmaker zarejestrowanej z permission_callback zwracającym bezwarunkowo true oraz z faktu, że funkcja mapster_write_config_to_acf() sanityzuje tylko wartości tekstowe przez sanitize_text_field(), a renderer shortcode mapster_wp_map konkatenuje zapisaną wartość loading_background_color do atrybutu style bez esc_attr(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.
- CVE-2026-39720Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mapster WP Maps w wersjach do 2.0.4.
- CVE-2026-12954Wysokie
Wtyczka Mapster WP Maps dla WordPressa jest podatna na zapis dowolnych metadanych użytkownika we wszystkich wersjach do 1.23.0 włącznie poprzez funkcję my_profile_update(). Brak weryfikacji nonce, sprawdzenia uprawnień i walidacji klucza meta pozwala uwierzytelnionemu atakującemu z poziomem Subscriber modyfikować dowolne metadane użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Mapster WP Maps plugin for WordPress is vulnerable to Stored Cross-Site Scripting via multiple fields in versions up to, and including, 1.20.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers with contributor-level permissions and above to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS