CVE-2026-19798 in Wp Map Block Plugin
Sumário
de VulDB • 16/10/2026
O plugin Wp Map Block para WordPress é vulnerável à modificação não autorizada de dados devido a uma verificação de permissão ausente nas funções set_status() e bulk() do controlador REST Maps_Controller, nas versões até 3.0.0 (incluída). O permission_callback do plugin (can_edit()) verifica apenas se o usuário atual possui 'edit_posts' e não realiza nenhuma verificação de propriedade em nível de objeto nem a validação das capacidades relacionadas ao nível de publicação; enquanto isso, os manipuladores passam diretamente para wp_update_post() (e wp_delete_post(), no ramo da exclusão em massa) um ID do mapa controlado pelo chamador, alterando o post_status entre "publish" e "draft". Isso permite que atacantes autenticados com acesso nível Contributor ou superior publiquem ou despubliquem (bem como excluam em massa) qualquer postagem wpmb_map, incluindo mapas de propriedade dos administradores, ocultando assim os mapas publicados de todas as páginas públicas do site inteiro ou forçando a visibilidade pública de mapas que estavam no rascunho.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.