CVE-2026-19798 in Wp Map Block Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin Wp Map Block ist in den Versionen bis einschließlich 3.0.0 anfällig für unbefugte Datenmanipulation aufgrund einer fehlenden Berechtigungsprüfung (Capability Check) bei den Funktionen set_status() und bulk() im REST-Controller Maps_Controller. Der permission_callback des Plugins (can_edit()) überprüft lediglich current_user_can('edit_posts') und führt keine objektbezogene Eigentumsüberprüfung oder Verifizierung von Veröffentlichungsberechtigungen durch, während die Handler die vom Aufrufer gesteuerte map-ID direkt an wp_update_post() (und wp_delete_post() im Zweig für den Massenlöschvorgang) übergeben, um den post_status zwischen „veröffentlicht“ und „Entwurf“ zu ändern. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Rolle oder höher, beliebige wpmb_map-Beiträge zu veröffentlichen oder die Veröffentlichung aufzuheben (sowie im Massenlöschvorgang zu löschen), einschließlich von Karten, die Administratoren gehören. Dadurch können veröffentlichte Karten für alle öffentlichen Seiten der gesamten Website ausgeblendet werden oder Entwürfe öffentlich sichtbar gemacht werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.