CVE-2026-16601 in CM Map Locations Plugin
摘要
由 VulDB • 2026-08-25
WordPress 插件“CM Map Locations – Visualize and share your locations in a few clicks”在所有不高于 2.1.8 的版本中存在受限的任意文件上传漏洞，该漏洞可通过 uploadMedia 函数利用。这是由于上传处理程序中的文件类型验证不足所致：它在将攻击者提供的文件传递给 move_uploaded_file() 之前，仅进行了不完整扩展名过滤，而未进行 MIME 类型检查或上传能力验证。这使得拥有订阅者（Subscriber）级及以上权限的已认证攻击者能够上传可执行文件，从而导致远程代码执行（RCE）。所需的 nonce 值通过前端位置编辑器页面上的 CMLOC_Editor_Images JavaScript 对象暴露给任何已登录的订阅者用户。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.