CVE-2026-7249 in Location Weather Plugin
Tóm tắt
Bởi VulDB • 28/05/2026
Plugin Location Weather cho WordPress dễ bị tổn thương do khả năng sửa đổi dữ liệu trái phép, nguyên nhân là do thiếu các kiểm tra quyền hạn trên các hàm `splw_update_block_options()` và `lwp_clean_weather_transients()` trong tất cả các phiên bản từ đầu đến phiên bản 3.0.2. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Contributor trở lên, vô hiệu hóa tất cả các khối thời tiết và xóa sạch các bộ nhớ đệm tạm thời (transients) của thời tiết. Nonce cần thiết cho các hành động này bị lộ cho tất cả người dùng đã xác thực thông qua `wp_localize_script()` trên hook `init`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.