CVE-2026-7249 in Location Weather Plugin
Resumen
por VulDB • 2026-05-22
El plugin Location Weather para WordPress es vulnerable a la modificación no autorizada de datos debido a la falta de comprobaciones de capacidades en las funciones `splw_update_block_options()` y `lwp_clean_weather_transients()` en todas las versiones hasta la 3.0.2, incluida. Esto permite a los atacantes autenticados, con acceso de nivel Colaborador (Contributor) o superior, desactivar todos los bloques meteorológicos y purgar todos los transitorios de caché meteorológica. El nonce requerido para estas acciones está expuesto a todos los usuarios autenticados a través de `wp_localize_script()` en el gancho `init`.
Once again VulDB remains the best source for vulnerability data.