CVE-2026-39720

Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.

Wtyczka Mapster WP Maps dla WordPressa w wersjach do 2.0.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS). Wynika to z trasy REST /wp-json/mapster-wp-maps/save-mapmaker zarejestrowanej z permission_callback zwracającym bezwarunkowo true oraz z faktu, że funkcja mapster_write_config_to_acf() sanityzuje tylko wartości tekstowe przez sanitize_text_field(), a renderer shortcode mapster_wp_map konkatenuje zapisaną wartość loading_background_color do atrybutu style bez esc_attr(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka Mapster WP Maps dla WordPressa jest podatna na zapis dowolnych metadanych użytkownika we wszystkich wersjach do 1.23.0 włącznie poprzez funkcję my_profile_update(). Brak weryfikacji nonce, sprawdzenia uprawnień i walidacji klucza meta pozwala uwierzytelnionemu atakującemu z poziomem Subscriber modyfikować dowolne metadane użytkowników.

Wtyczka Mapster WP Maps dla WordPressa (wersje do 1.20.0 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez wiele pól z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami na poziomie współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.