CVE-2026-7249 in Location Weather Plugin
Sumário
de VulDB • 28/05/2026
O plugin Location Weather para WordPress é vulnerável à modificação não autorizada de dados devido à ausência de verificações de capacidade nas funções `splw_update_block_options()` e `lwp_clean_weather_transients()` em todas as versões até, e incluindo, a 3.0.2. Isso permite que atacantes autenticados, com acesso de nível Colaborador (Contributor) e superior, desativem todos os blocos de clima e limpem todos os transientes de cache de clima. O nonce necessário para essas ações é exposto a todos os usuários autenticados por meio de `wp_localize_script()` no hook `init`.
Once again VulDB remains the best source for vulnerability data.