CVE-2026-107743
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka Mapster WP Maps dla WordPressa w wersjach do 2.0.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS). Wynika to z trasy REST /wp-json/mapster-wp-maps/save-mapmaker zarejestrowanej z permission_callback zwracającym bezwarunkowo true oraz z faktu, że funkcja mapster_write_config_to_acf() sanityzuje tylko wartości tekstowe przez sanitize_text_field(), a renderer shortcode mapster_wp_map konkatenuje zapisaną wartość loading_background_color do atrybutu style bez esc_attr(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników odwiedzających stronę. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Mapster WP Maps do wersji nowszej niż 2.0.5. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do trasy REST.
Inne podatności w Mapster WP Maps
Zobacz wszystkie- CVE-2026-118638Wysokie
Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.
- CVE-2026-39720Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mapster WP Maps w wersjach do 2.0.4.
- CVE-2026-12954Wysokie
Wtyczka Mapster WP Maps dla WordPressa jest podatna na zapis dowolnych metadanych użytkownika we wszystkich wersjach do 1.23.0 włącznie poprzez funkcję my_profile_update(). Brak weryfikacji nonce, sprawdzenia uprawnień i walidacji klucza meta pozwala uwierzytelnionemu atakującemu z poziomem Subscriber modyfikować dowolne metadane użytkowników.
- CVE-2025-9044Średnie
Wtyczka Mapster WP Maps dla WordPressa (wersje do 1.20.0 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez wiele pól z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami na poziomie współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Mapster WP Maps plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.0.5. This is due to the /wp-json/mapster-wp-maps/save-mapmaker REST route being registered with a permission_callback that unconditionally returns true (no capability check, no nonce), together with the mapster_write_config_to_acf() helper only sanitizing string config values with sanitize_text_field() — which strips HTML tags but leaves quote characters intact — and the mapster_wp_map shortcode renderer in mapster_wordpress_maps_shortcode_display() concatenating the stored loading_background_color value into a single-quoted inline style attribute without esc_attr(). This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS