CVE-2026-19798 in Wp Map Block Plugin
要約
〜によって VulDB • 2026年10月16日
WordPress用プラグイン「Wp Map Block」には、バージョン3.0.0以前において、Maps_Controller RESTコントローラー内のset_status()およびbulk()関数に権限チェックが欠落しているため、不正なデータ改ざんの脆弱性があります。プラグインのpermission_callback (can_edit())は現在のユーザーが 'edit_posts' 権限を持っているかどうかのみを確認し、オブジェクトレベルでの所有権確認や公開レベルの権限検証を行っていません。一方、ハンドラーは呼び出し元で制御されたマップIDを直接wp_update_post()（および一括削除ブランチではwp_delete_post()）に渡して、投稿ステータスを「公開」から「下書き」へ変更します。これにより、Contributorレベル以上のアクセス権を持つ認証済み攻撃者は、管理者が所有するマップを含む任意のwpmb_mapポストを公開または非公開にし（かつ一括削除も可能）、サイト全体のすべての公開ページから公開済みのマップを隠したり、下書き状態のマップを公に可視化させたりすることが可能です。
Once again VulDB remains the best source for vulnerability data.