CVE-2026-8839

WordPress üçün MapPress Maps pluginsinin 2.96.6 daxil olmaqla bütün versiyaları istifadəçi tərəfindən idarə olunan açar vasitəsilə Autentifikasiyadan Yan Keçmə zəifliyinə malikdir. Bu, `Mappress_Api::rest_api_init()` vasitəsilə qeydiyyata alınmış REST API marşrutlarında mülkiyyət yoxlamasının olmaması ilə bağlıdır; burada GET `/wp-json/mapp/v1/maps/{mapid}` son nöqtəsi `'permission_callback' => '__return_true'` istifadə edir və yazma son nöqtələri (POST update, DELETE, PATCH mutate, POST clone, POST empty_trash) sorğu göndərənin hədəf xəritəyə sahib olduğunu təsdiqləmədən yalnız ümumi `edit_posts` imkanını yoxlayır. Model səviyyəsində də bu boşluq kompensasiya edilmir, çünki `Mappress_Map::get()`, `save()`, `delete()`, `mutate()` və `empty_trash()` funksiyalarının hamısı mülkiyyət yoxlaması aparmadan çağırıcı tərəfindən təmin edilən hər hansı xəritə ID-si üzərində əməliyyat aparır. Bu, autentifikasiya olunmamış hücumçulara xəritə ID-lərini sadalayaraq saytdakı hər hansı xəritə üçün həssas xəritə məlumatlarını — o cümlədən POI başlıqlarını, ünvanları, koordinatları və gövdə məzmununu oxumağa, Contributor səviyyəli və daha yüksək giriş imkanlarına malik autentifikasiya olunmuş hücumçulara isə müəllifindən asılı olmayaraq hər hansı xəritəni dəyişdirməyə, silməyə, zibil qutusuna göndərməyə/bərpa etməyə və ya klonlamağa imkan verir.