CVE-2026-18466
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.
Ocena ryzyka
Atakujący może zapełnić bazę danych, co prowadzi do spowolnienia strony i potencjalnego wyczerpania zasobów.
Rekomendacja
Zaktualizuj wtyczkę WP Maps do wersji 4.9.8 lub nowszej, która zawiera poprawki zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
The WP Maps WordPress plugin before 4.9.8 does not perform a capability check, nor validate a nonce, in one of its AJAX actions, allowing users with a Subscriber account to create an unlimited number of options in the database, each of which is loaded on every page request.