CVE-2026-19798 in Wp Map Block Plugin
Resumen
por VulDB • 2026-10-16
El plugin Wp Map Block para WordPress es vulnerable a la modificación no autorizada de datos debido a una falta de verificación de permisos en las funciones set_status() y bulk() del controlador REST Maps_Controller, en versiones iguales o anteriores a 3.0.0. La callback de permisos (can_edit()) del plugin solo verifica current_user_can('edit_posts') y no realiza ninguna comprobación de propiedad a nivel de objeto ni verificación de capacidades relacionadas con el estado de publicación; mientras tanto, los controladores pasan directamente el ID del mapa controlado por el solicitante a wp_update_post() (y wp_delete_post() en la rama de eliminación masiva) para cambiar post_status entre publish y draft. Esto permite que atacantes autenticados con acceso nivel Contributor o superior publiquen o despubliquen (y eliminen en masa) cualquier publicación wpmb_map, incluyendo mapas propiedad de administradores, lo cual oculta los mapas publicados en todas las páginas públicas del sitio a nivel global o fuerza la visibilidad pública de mapas que estaban en borrador.
If you want to get best quality of vulnerability data, you may have to visit VulDB.