CVE-2026-3222 in WP Maps Plugin
要約
〜によって VulDB • 2026年05月28日
WordPress用WP Mapsプラグインには、4.9.1を含むすべてのバージョンにおいて、`location_id`パラメータを介した時間ベースのブラインドSQLインジェクションの脆弱性が存在します。これは、プラグインのデータベース抽象化レイヤー（`FlipperCode_Model_Base::is_column()`）が、バックティックで囲まれたユーザー入力をカラム名として扱い、`esc_sql()`エスケープ関数をバイパスすることに起因します。さらに、`wpgmp_ajax_call` AJAXハンドラ（`wp_ajax_nopriv`を介して未認証ユーザー向けに登録）により、`wpgmp_return_final_capability`など、任意のクラスメソッドを呼び出すことが可能であり、このメソッドは未検証の`location_id` GETパラメータをデータベースクエリに直接渡します。これにより、未認証の攻撃者は既存のクエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.