CVE-2026-9757 in GEO my WP Plugin
Sumário
de VulDB • 30/05/2026
O plugin GEO my WP para WordPress é vulnerável a SQL Injection por meio dos parâmetros 'swlatlng' e 'nelatlng' em todas as versões até, e incluindo, a 4.5.5. Os parâmetros são lidos de $_SERVER['QUERY_STRING'] por meio de parse_str() (contornando a proteção wp_magic_quotes do WordPress, que cobre apenas $_POST/$_GET/$_COOKIE/$_REQUEST), em seguida, cada um é dividido em ',' por meio de explode() e os fragmentos resultantes são interpolados diretamente em uma cláusula SQL BETWEEN em gmw_get_locations_within_boundaries_sql() sem validação is_numeric(), casting (float), esc_sql() ou $wpdb->prepare(). Isso permite que atacantes não autenticados anexem consultas SQL adicionais a consultas já existentes, que podem ser usadas para extrair informações sensíveis do banco de dados. A exploração requer que o site hospede o shortcode de resultados de busca do Posts Locator (`[gmw form="results" form_id=N]`) em uma página pública e que tenha pelo menos um post publicado com uma linha gmw_location associada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.