CVE-2026-15275

Nome do Software Vulnerável e Versões Afetadas WP Multi Store Locator Pro versões anteriores a 4.5.2

Descrição Existe um problema onde invasores não autenticados podem realizar Injeção de SQL ao anexar consultas adicionais a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre porque o parâmetro store locatore search radius não é suficientemente escapado ou preparado antes de ser usado em uma consulta SQL. A falha está localizada em um contexto SQL numérico e não cotado, o que ignora a proteção wp magic quotes(). Além disso, o manipulador AJAX wp ajax nopriv make search request carece de verificações de nonce ou de capacidade, permitindo que o endpoint seja acessado sem autenticação.

Recomendações Atualize para uma versão posterior à 4.5.1. Como mitigação temporária, restrinja o acesso ao manipulador wp ajax nopriv make search request ou evite o uso do parâmetro store locatore search radius.