CVE-2026-19798 in Wp Map Block Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي إضافة Wp Map Block لـ WordPress على ثغرة تسمح بتعديل غير مصرح به للبيانات بسبب عدم وجود فحص للصلاحيات (capability check) في الدالتين set_status() و bulk() داخل وحدة التحكم REST Maps_Controller، وذلك في الإصدارات حتى 3.0.0 شاملاً. لا يتحقق callback الأذونات الخاص بالإضافة (can_edit()) إلا من صلاحية current_user_can('edit_posts') فقط ولا يقوم بإجراء فحص لمالكية الكائنات أو التحقق من صلاحيات مستوى النشر، بينما تمرر المعالجون معرف الخريطة الذي يتحكم فيه المهاجم مباشرةً إلى wp_update_post() (و wp_delete_post() في فرع الحذف الجماعي) لتغيير حالة المنشور بين "منشور" و "مسودة". وهذا يتيح للمهاجمين المصادق عليهم الذين يمتلكون وصولاً بمستوى المساهم وما فوق، نشر أو إلغاء نشر (وحذف جماعي لأي منشور من نوع wpmb_map)، بما في ذلك الخرائط التي يملكها المسؤولون، مما يؤدي إلى إخفاء الخرائط المنشورة عن جميع الصفحات العامة على مستوى الموقع بأكمله أو جعل الخرائط الممسودة مرئية للعامة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.