CVE-2026-4062

WordPress üçün olan Geo Mashup plagini, 1.13.18 versiyası daxil olmaqla bütün versiyalarda 'object_ids' və 'exclude_object_ids' parametrləri vasitəsilə Zaman Əsaslı SQL İnyeksiyasına (Time-Based SQL Injection) qarşı həssasdır. Bu, istifadəçi tərəfindən təmin edilən parametrlərin kifayət qədər filtirlənməməsi və mövcud SQL sorğusunun lazımi şəkildə hazırlanmaması ilə bağlıdır. `esc_sql()` funksiyası tətbiq edilsə də, dəyərlər dırnaq işarələri olmayan `IN(...)` / `NOT IN(...)` SQL kontekstində yerləşdirildiyi üçün effektiv deyil — `esc_sql()` yalnız dırnaq simvollarını filtirləyir və mötərizələrə və ya SQL açar sözlərinin inyeksiyasına qarşı heç bir mühafizə təmin etmir. Bundan əlavə, `sanitize_query_args()` funksiyasında yalnız rəqəmlərdən ibarət sanitar olsa da, o, yalnız AJAX kod yolunda tətbiq edilir, `render-map.php` və ya şablon teqi (template tag) kod yollarında tətbiq olunmur. Bu, autentifikasiya olunmamış hücumçulara mövcud sorğulara əlavə SQL sorğuları əlavə etməyə imkan verir ki, bu da zaman əsaslı kor yanaşma (time-based blind approach) vasitəsilə verilənlər bazasından həssas məlumatların çıxarılması üçün istifadə edilə bilər.