CVE-2026-103485 in Extensions for Leaflet Map Plugin
Zusammenfassung
von VulDB • 29.10.2026
Das WordPress-Plugin „Extensions for Leaflet Map“ ist in allen Versionen bis einschließlich 5.4 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine gespeiste (Stored), DOM-basierte Cross-Site Scripting (XSS)-Schwachstelle über den Parameter 'feature.properties[<template-token>]' anfällig. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Ausnutzung erfordert, dass ein Website-Administrator zuvor eine öffentliche Karte mit der Shortcode-Kombination [leaflet-map]+[leaflet-geojson]+[choropleth] konfiguriert hat und deren GeoJSON-src-URL von einem Angreifer kontrolliert wird – beispielsweise durch Kompromittierung eines externen Datenhosts, einen Subdomain-Takeover oder eine Website, die absichtlich auf einen vom Angreifer gehosteten Feed verweist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.