CVE-2026-13179
Açıklama
WordPress için geliştirilen WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 4.9.8 sürümü dahil tüm önceki sürümlerde shapes_values parametresi üzerinden Stored Cross-Site Scripting zafiyetine sahiptir. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak şekilde sayfalara rastgele web betikleri enjekte etmesini mümkün kılar. Uç nokta tarafından gerektirilen fc-call-nonce nonce değeri, harita sayfasını görüntüleyen tüm ön uç ziyaretçilerine window.wpgmp_local.nonce aracılığıyla ifşa edilmekte ve bu da herhangi bir kimliği doğrulanmış abonenin nonce değerini okuyarak geçerli bir istek oluşturmasına olanak tanımaktadır; ek olarak, çizim işleyicisindeki ikincil _wpnonce kontrolü, istekten _wpnonce parametresinin basitçe çıkarılmasıyla atlatılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flippercode WP Maps – Google Maps, OpenStreetMap, Mapbox, Store Locator with Search, Filters & Listings | v ≤ 4.9.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.