CVE-2025-9205
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka MapSVG dla WordPressa do wersji 8.14.0 włącznie jest podatna na przechowywany atak XSS przez atrybuty w opcjach mapy. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdej wizycie na zainfekowanej stronie.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce odwiedzającego, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki MapSVG do najnowszej wersji oraz ograniczenie uprawnień użytkowników.
Inne podatności w MapSVG
Zobacz wszystkie- CVE-2026-111405Średnie
Wtyczka MapSVG zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 8.16.1.
- CVE-2026-111399Wysokie
Wtyczka MapSVG (mapsvg-lite-interactive-vector-maps) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Podatność występuje w wersjach od n/a do 8.16.1.
- CVE-2026-111397Średnie
Wtyczka MapSVG zawiera podatność braku autoryzacji, która pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 8.16.1.
- CVE-2026-111406Krytyczne
Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.
- CVE-2026-59527Krytyczne
Wtyczka MapSVG w wersji 8.14.0 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-65455Krytyczne
MapSVG w wersjach do 8.14.0 zawiera podatność na dowolne przesyłanie plików przez administratora. Administrator może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu na serwerze.
- CVE-2026-59526Krytyczne
Wtyczka MapSVG w wersjach do 8.14.0 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-111398Wysokie
Wtyczka MapSVG do WordPressa (wersje do 8.16.1) zawiera podatność typu Path Traversal polegającą na niewłaściwym ograniczeniu ścieżki do katalogu. Może to pozwolić atakującemu na dostęp do plików poza zamierzonym katalogiem.
- CVE-2026-82852Średnie
MapSVG w wersjach do 8.15.0 zawiera podatność na nieuwierzytelniony Server Side Request Forgery (SSRF). Atakujący może wysyłać żądania z serwera do dowolnych zasobów, w tym wewnętrznych, bez uwierzytelnienia.
- CVE-2026-65451Wysokie
Wtyczka MapSVG w wersji do 8.14.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
The MapSVG plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 8.14.0. This is due to insufficient input sanitization and output escaping on user supplied attributes within the map options. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS