CVE-2026-8839

WordPress için geliştirilen MapPress Maps for WordPress eklentisi, 2.96.6 sürümü dahil tüm önceki sürümlerde Kullanıcı Kontrollü Anahtar Aracılığıyla Yetkilendirme Atlatma zafiyetine sahiptir. Bu durum, `Mappress_Api::rest_api_init()` aracılığıyla kaydedilen REST API rotalarında sahiplik doğrulamasının eksik olmasından kaynaklanmaktadır; burada GET `/wp-json/mapp/v1/maps/{mapid}` uç noktası `'permission_callback' => '__return_true'` kullanmakta ve yazma uç noktaları (POST update, DELETE, PATCH mutate, POST clone, POST empty_trash), isteği yapan kişinin hedeflenen haritanın sahibi olduğunu doğrulamadan yalnızca genel `edit_posts` yetkisini kontrol etmektedir. `Mappress_Map::get()`, `save()`, `delete()`, `mutate()` ve `empty_trash()` fonksiyonlarının tamamı herhangi bir sahiplik kontrolü yapmadan çağrılan tarafından sağlanan herhangi bir harita kimliği üzerinde işlem yaptığı için bu boşluk model katmanında da giderilmemiştir. Bu durum, kimlik doğrulaması yapmamış saldırganların harita kimliklerini sıralayarak sitedeki herhangi bir haritaya ait POI başlıkları, adresler, koordinatlar ve gövde içeriği dahil hassas harita verilerini okumasını ve Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimlik doğrulaması yapmış saldırganların, yazarından bağımsız olarak herhangi bir haritayı değiştirmesini, silmesini, çöpe atmasını/geri yüklemesini veya kopyalamasını mümkün kılmaktadır.