CVE-2026-7249 in Location Weather Plugin
要約
〜によって VulDB • 2026年05月22日
WordPress用プラグイン「Location Weather」には、`splw_update_block_options()`および`lwp_clean_weather_transients()`関数における権限チェックの欠如により、データが不正に改変される脆弱性が存在します。この脆弱性は3.0.2以前の全バージョンに影響します。これにより、投稿者レベル以上のアクセス権を持つ認証済み攻撃者は、すべての天気ウィジェットを無効にし、すべての天気キャッシュのトランジェントを削除することが可能になります。これらのアクションに必要なnonceは、`init`フックにおける`wp_localize_script()`を通じて、すべての認証済みユーザーに公開されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.