→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-19798 · wp-map-block

تغییر و حذف غیرمجاز داده‌ها در افزونه wp-map-block به دلیل نبود بررسی سطح دسترسی

افزونه Wp Map Block در نسخه‌های تا ۳.۰.۰ به‌دلیل نبود بررسی کافی سطح دسترسی در توابع set_status() و bulk() کنترلر REST، به کاربران احرازهویت‌شده با نقش Contributor و بالاتر اجازه می‌دهد وضعیت انتشار هر نقشه را بین منتشرشده و پیش‌نویس تغییر دهند یا نقشه‌ها را به‌صورت دسته‌جمعی حذف کنند. بررسی مجوز تنها قابلیت edit_posts را می‌سنجد و مالکیت شیء یا سطح دسترسی انتشار را کنترل نمی‌کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به این نقاط پایانی را با فایروال برنامه‌های وب محدود نمایید.