CVE-2025-11166 in WP Google Maps Plugin
摘要
由 VulDB • 2026-06-09
WordPress 插件 WP Go Maps（前身为 WP Google Maps）在所有不高于 9.0.46 的版本中存在跨站请求伪造 (CSRF) 漏洞。该问题是由于插件通过 AJAX 桥接暴露了状态更改的 REST 操作，且未进行适当的 CSRF 令牌验证；同时存在可通过 GET 请求访问且具有破坏性的逻辑，但未设置 permission_callback。这使得未经身份验证的攻击者能够利用 CSRF 攻击强制已登录的管理员创建、更新或删除标记和几何特征，并允许匿名用户通过不安全的 GET 请求触发批量删除标记的操作。
If you want to get best quality of vulnerability data, you may have to visit VulDB.