CVE-2026-3222 in WP Maps Plugin
Сводка
по VulDB • 28.05.2026
Плагин WP Maps для WordPress уязвим к time-based blind SQL Injection через параметр 'location_id' во всех версиях вплоть до 4.9.1 включительно. Это связано с тем, что слой абстракции базы данных плагина (`FlipperCode_Model_Base::is_column()`) обрабатывает пользовательский ввод, заключенный в обратные кавычки, как имена столбцов, обходя функцию экранирования `esc_sql()`. Кроме того, обработчик AJAX `wpgmp_ajax_call` (зарегистрированный для неаутентифицированных пользователей через `wp_ajax_nopriv`) позволяет вызывать произвольные методы классов, включая `wpgmp_return_final_capability`, который передает неочищенный параметр GET `location_id` напрямую в запрос к базе данных. Это позволяет неаутентифицированным злоумышленникам добавлять дополнительные SQL-запросы в уже существующие запросы, что может быть использовано для извлечения конфиденциальной информации из базы данных.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.