CVE-2026-12238

Nome do Software Vulnerável e Versões Afetadas WP Go Maps versões anteriores a 10.1.02

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem criar registros arbitrários em tabelas do banco de dados do plugin, incluindo mapas, marcadores, círculos, polígonos, polilinhas, retângulos e rótulos de pontos. Isso é feito fornecendo um nome de classe baseada em CRUD com namespace WPGMZA através do parâmetro phpClass. Embora uma verificação de validação de namespace exija o prefixo 'WPGMZA', classes como WPGMZAMap e WPGMZAMarker satisfazem esse requisito, disparando uma operação de INSERT na tabela correspondente antes que a rota rejeite a solicitação.

Recomendações Atualize para uma versão posterior a 10.1.01.