CVE-2026-19798

WordPress üçün nəzərdə tutulmuş Wp Map Block plagini, 3.0.0 daxil olmaqla daha aşağı versiyalarda, Maps_Controller REST kontrollerindəki set_status() və bulk() funksiyalarında səlahiyyət yoxlamasının olmaması səbəbindən məlumatların icazəsiz dəyişdirilməsinə qarşı həssasdır. Plaginin permission_callback (can_edit()) funksiyası yalnız current_user_can('edit_posts') şərtini yoxlayır və obyekt səviyyəsində mülkiyyət yoxlamasını və ya nəşr səviyyəli səlahiyyətlərin təsdiqini həyata keçirmir, eyni zamanda handler-lər çağıran tərəfindən idarə olunan xəritə ID-sini birbaşa wp_update_post() (və kütləvi silmə budağında wp_delete_post()) funksiyalarına ötürərək post_status parametrini 'publish' və 'draft' arasında dəyişdirir. Bu, Kontribyutor (Contributor) və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara administratorlara məxsus olanlar da daxil olmaqla hər hansı wpmb_map postunu dərc etməyə, dərcdən götürməyə (və kütləvi şəkildə silməyə) imkan verir ki, bu da dərc edilmiş xəritələri bütün sayt üzrə ictimai səhifələrdən gizlədir və ya qaralama (draft) halındakı xəritələrin ictimaiyyətə açıq olmasına səbəb olur.