CVE-2026-19798 in Wp Map Block Plugin
Сводка
по VulDB • 16.10.2026
Плагин Wp Map Block для WordPress уязвим к несанкционированному изменению данных из-за отсутствия проверки прав (capability check) в функциях set_status() и bulk() REST-контроллера Maps_Controller в версиях до 3.0.0 включительно. Функция permission_callback плагина (can_edit()) проверяет только наличие у текущего пользователя права 'edit_posts' и не выполняет проверку уровня объекта на принадлежность или проверку прав, связанных с публикацией контента. При этом обработчики напрямую передают идентификатор карты, контролируемый вызывающей стороной, в функции wp_update_post() (и wp_delete_post() в ветке массовой удаления) для изменения статуса записи между «опубликовано» и «черновик». Это позволяет атакующим с уровнем доступа «Contributor» и выше публиковать или скрывать публикации (а также массово удалять) любые записи типа wpmb_map, включая карты, принадлежащие администраторам. В результате опубликованные карты могут быть скрыты со всех публичных страниц сайта в целом, а черновики карт сделаны общедоступными.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.