CVE-2026-9757 in GEO my WP Plugin
الملخص
بحسب VulDB • 30/05/2026
يحتوي مكون WordPress "GEO my WP" على ثغرة حقن SQL عبر المعلمتين 'swlatlng' و 'nelatlng' في جميع الإصدارات حتى 4.5.5 شاملاً. تُقرأ هذه المعلمة من `$_SERVER['QUERY_STRING']` عبر دالة `parse_str()` (متجاوزةً حماية `wp_magic_quotes` الخاصة بـ WordPress، التي تغطي فقط `$_POST`/`$_GET`/`$_COOKIE`/`$_REQUEST`)، ثم يتم تقسيم كل منها على الفاصلة `,` باستخدام `explode()`، وتُدمج الشظايا الناتجة مباشرةً في جملة SQL BETWEEN داخل الدالة `gmw_get_locations_within_boundaries_sql()` دون التحقق من كونها رقمية عبر `is_numeric()`، أو التحويل الصريح إلى رقم عشري `(float)`، أو استخدام `esc_sql()`، أو `$wpdb->prepare()`. وهذا يمكّن المهاجمين غير المصادق عليهم من إرفاق استعلامات SQL إضافية إلى الاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. يتطلب الاستغلال أن يستضيف الموقع شورتكود نتائج بحث "Posts Locator" (`[gmw form="results" form_id=N]`) في صفحة عامة، وأن يحتوي على منشور واحد على الأقل منشور مع صف `gmw_location` مرتبط به.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.