CVE-2026-16601

Nome do Software Vulnerável e Versões Afetadas CM Map Locations – Visualize and share your locations in a few clicks versões anteriores a 2.1.9

Descrição A validação insuficiente do tipo de arquivo no manipulador de upload permite que atacantes autenticados com nível de acesso de assinante ou superior realizem o upload arbitrário limitado de arquivos. O problema ocorre na função uploadMedia(), que utiliza filtragem de extensão incompleta e não realiza verificações de MIME-type ou de capacidades de upload antes de chamar a função move uploaded file(). Isso pode levar à execução remota de código caso arquivos executáveis sejam carregados. O nonce necessário é exposto a assinantes logados através do objeto JavaScript CMLOC Editor Images na página do editor de locais no front-end.

Recomendações Atualize para uma versão posterior à 2.1.8. Como medida de mitigação temporária, restrinja o acesso à página do editor de locais no front-end para usuários com permissões de assinante.